if ( !emtpy($headline_subheadline ) ) : ?>
En compromettant les systèmes BIG-IP APM, les attaquants peuvent accéder aux informations d’identification, aux jetons SSO et aux chemins fiables vers les applications en aval.
endif; ?>
On pense qu’un rootkit Linux récemment analysé a donné aux attaquants un moyen de cacher les shells dans les environnements F5 BIG-IP Access Policy Management (APM) récemment compromis, sans laisser le code PHP malveillant sur le disque.
Sophos a déclaré que le malware, trouvé dans les environnements BIG-IP APM compromis utilisant des composants Apache et PHP, utilise le chargement ELF personnalisé, l’accrochage de fonctions et l’application de correctifs de code d’exécution pour établir un accès persistant. L’implant, indique-t-on dans un article de blog, semble être spécifiquement adapté aux environnements Web BIG-IP APM, plutôt que d’être une attaque générique Apache ou PHP.
L’activité a été liée à l’exploitation de CVE-2025-53521, une vulnérabilité d’exécution de code à distance (RCE) non authentifiée affectant BIG-IP APM lorsqu’une politique d’accès est configurée sur un serveur virtuel.
Sophos a déclaré que l’échantillon qu’ils ont maintenant trouvé et analysé est une charge utile de deuxième étape, tandis qu’un composant précédemment identifié est responsable de l’infection du processus Apache « httpd » et du déploiement de cette charge utile.
Le shell Web n’est pas vraiment un fichier
L’analyse de Sophos s’est concentrée sur la manière dont le malware délivre son shell Web.
Plutôt que de déposer un fichier PHP suspect sur le serveur, l’implant accroche le processus de chargement PHP d’Apache et modifie la façon dont les fichiers PHP sélectionnés sont présentés au processus en cours d’exécution. Sophos l’a trouvé ciblant spécifiquement trois fichiers PHP utilisés par l’environnement Web de BIG-IP APM.
Ces fichiers comprenaient « apm_css.php3 », « full_wt.php3 » et « webtop_popup_css.php3 ».
Lorsque PHP tente de mapper la mémoire de l’un de ces fichiers, dans le cadre du runtime PHP de routine, le rootkit intercepte l’opération et crée une version modifiée en mémoire contenant le shell Web malveillant aux côtés du script légitime. Le fichier sur le disque reste inchangé.
Cela rend la technique presque invisible pour les outils de détection Web-Shell conventionnels. Une analyse du système de fichiers montrerait un fichier PHP parfaitement légitime pendant que le processus Apache exécute une version modifiée en mémoire.
« L’importance ici n’est pas seulement que le shell Web est plus furtif », a déclaré Sean Malone, responsable de la sécurité de l’information chez BeyondTrust. « Cela va à l’encontre de l’hypothèse sur laquelle reposent la plupart des playbooks de réponse : que le fichier sur le disque vous indique ce que le serveur exécute. »
Le malware sert une copie empoisonnée de trois fichiers BIG-IP APM légitimes uniquement dans le processus Apache en cours d’exécution, de sorte que les hachages correspondent, la surveillance de l’intégrité des fichiers réussit et la boîte semble propre tant qu’elle appartient, a expliqué Malone.
L’implant établit également un deuxième mécanisme d’accès via un socket UNIX local, plutôt que d’ouvrir un écouteur TCP conventionnel. Après l’authentification, le socket peut fournir une session interactive « /bin/bash », offrant à un attaquant un autre moyen d’accéder au système tout en évitant une certaine détection basée sur le réseau.
Sophos a déclaré que la combinaison de ces techniques crée une fonctionnalité Web-Shell qui est plus difficile à détecter en utilisant une surveillance centrée sur les fichiers ou uniquement PHP.
Une compromission pourrait exposer la passerelle d’identité
Les implications s’étendent au-delà de l’appliance F5 elle-même.
« Un attaquant ayant accès à BIG-IP APM peut intercepter les jetons et les informations d’identification SSO, injecter des décisions politiques, surveiller le trafic des utilisateurs et se déplacer latéralement vers les applications en aval et les locataires SaaS qui font confiance à l’appliance », a déclaré Agnidipta Sarkar, évangéliste en chef chez ColorTokens.
Sarkar a noté que BIG-IP APM est couramment déployé par les grandes entreprises, les institutions financières et les organisations du secteur public pour fournir un accès à distance et un SSO fédéré aux applications internes, aux API et aux services cloud. Étant donné que les appliances se situent au périmètre du réseau, traitent les informations d’identification et les jetons de session et terminent TLS, elles représentent des cibles particulièrement précieuses.
Pour les défenseurs, Sarkar a recommandé d’enquêter sur les systèmes vulnérables avant qu’ils ne soient corrigés, car l’application du correctif n’exclut pas une compromission antérieure. Il recommande également de combiner les indicateurs de compromission de F5 avec la mémoire et la télémétrie comportementale, car les analyses de fichiers seules peuvent manquer l’activité en mémoire du rootkit.
