Le malware F5 BIG‑IP APM injecte une web shell PHP en mémoire, contournant les analyses de disque
L’analyse de Sophos révèle qu’une nouvelle variante de malware cible les appliances F5 BIG‑IP Access Policy Manager en injectant une web shell PHP dans les copies en‑mémoire de trois scripts natifs, permettant à la charge utile de s’exécuter sans jamais toucher le système de fichiers et d’échapper aux analyses antivirus traditionnelles.
Traduit automatiquement de l'anglais, sans relecture éditoriale. Lire l'original →
L’analyse de Sophos montre que le malware lié à des intrusions récentes sur les appliances F5 BIG‑IP Access Policy Manager (APM) injecte une web shell PHP directement en mémoire, permettant à la shell de fonctionner sans jamais être écrite sur disque, contournant ainsi les analyses conventionnelles basées sur le disque.
Comment fonctionne l’injection en mémoire
The Hacker News a rapporté que « Le malware lié à des intrusions sur les appliances F5 BIG‑IP Access Policy Manager cache une web shell PHP en mémoire plutôt que dans un fichier sur disque, a déclaré Sophos dans une analyse publiée le 7 septembre ». Le rapport ajoute que le malware n’agit que lorsque Apache charge l’un des trois scripts PHP natifs – apm_css.php3, full_wt.php3 et webtop_popup_css.php3 – qui font partie du webtop BIG‑IP APM.
Lorsque Apache charge l’un de ces scripts, Sophos indique que le malware intercepte la fonction apr_dso_load de l’Apache Portable Runtime. Il lit ensuite /proc/self/maps pour localiser le module PHP chargé en mémoire, rend brièvement les pages mémoire concernées modifiables, réécrit les appels que le module utilise pour ouvrir, mesurer et mapper les fichiers, puis restaure les permissions d’origine. À partir de ce moment, le malware contrôle ce que PHP voit lorsqu’il ouvre le script. « Lorsque le fichier est mappé en mémoire, le malware place la web shell devant le contenu original », explique la source.
Comme la web shell n’existe que dans la copie en mémoire, une analyse traditionnelle du système de fichiers voit un script propre. « Lorsque Apache charge l’un des trois scripts PHP propres aux appliances, le malware ajoute la web shell à la copie détenue en mémoire, de sorte qu’une vérification du fichier sur disque peut apparaître propre », note l’article. La shell n’a pas besoin d’exister sous sa forme finale sur disque, ce qui signifie que la protection des points de terminaison reposant sur des signatures basées sur les fichiers est aveugle à cette technique.
Chronologie de la vulnérabilité et des divulgations publiques
La faille sous‑jacente, CVE‑2025‑53521, a été publiée pour la première fois par F5 le 15 octobre 2025 en tant que problème de déni de service. F5 a reclassé la vulnérabilité en exécution de code à distance le 27 mars 2026 et a confirmé qu’elle était exploitée. Sophos a publié son analyse détaillée le 7 septembre 2026, décrivant la méthode d’injection en mémoire. The Hacker News a repris les conclusions le 9 septembre 2026, et l’U.S. Cybersecurity and Infrastructure Security Agency (CISA) a ajouté CVE‑2025‑53521 à son catalogue des vulnérabilités exploitées connues le 14 septembre 2026, incitant les organisations à réévaluer leurs stratégies de détection.
Implications pour les opérateurs et les équipes de sécurité
Les clients utilisant des appareils BIG‑IP APM vulnérables doivent comprendre que les outils anti‑malware conventionnels basés sur le disque peuvent ne plus détecter la présence de la web shell. La détection nécessite désormais des outils d’analyse mémoire ou une surveillance comportementale capable de signaler des modifications inattendues de l’environnement d’exécution d’Apache. Le fait que le malware ne s’active qu’après le chargement du module PHP signifie que les systèmes qui n’hébergent pas les scripts affectés – par exemple ceux qui ont désactivé le webtop APM – sont moins susceptibles d’être impactés.
Les propres recommandations de F5 en mars 2026 avertissaient que des modifications des trois scripts seules ne prouvent pas une intrusion, mais la nouvelle technique en mémoire montre que les attaquants peuvent dissimuler leur activité même lorsque les scripts semblent intacts. Les organisations devraient donc vérifier qu’elles ont appliqué les correctifs publiés par F5 pour CVE‑2025‑53521 et envisager de déployer une détection d’intrusion basée sur l’hôte qui surveille la fonction apr_dso_load ou le comportement de mappage mémoire d’Apache.
F5 Networks en bref
F5, Inc. (symbole FFIV) est une société technologique basée à Seattle qui conçoit des solutions de livraison d’applications et de sécurité. Le dernier formulaire 10‑Q déposé le 6 août 2026 couvre la période fiscale du 1 octobre 2025 au 30 juin 2026. Au cours de cette période, la société a déclaré un chiffre d’affaires de 2 499 242 000 $, un bénéfice net de 536 017 000 $, des actifs totaux de 6 829 074 000 $ et 56 826 000 actions en circulation. Ces chiffres donnent un aperçu de l’envergure de l’organisation dont les produits sont désormais la cible d’une attaque sophistiquée uniquement en mémoire.
| Métrique | Valeur | Fin de période | Unité |
|---|---|---|---|
| Revenu | 2,499,242,000 | 2026‑06‑30 | USD |
| Bénéfice net | 536,017,000 | 2026‑06‑30 | USD |
| Actifs totaux | 6,829,074,000 | 2026‑06‑30 | USD |
| Actions en circulation | 56,826,000 | 2026‑06‑30 | shares |
Source : dépôt SEC (Form 10‑Q) pour l’exercice 2026, déposé le 6 août 2026.
Ce qui reste inconnu
L’échantillon Sophos examiné était une instance unique, de sorte que la prévalence de l’injection en mémoire dans l’ensemble du paysage des menaces n’est pas encore quantifiée. Ni Sophos ni The Hacker News n’ont indiqué si la web shell communique avec un serveur de commande et de contrôle, ni fourni de détails sur les capacités de la charge utile au-delà de l’exécution de commandes de base. F5 n’a pas confirmé publiquement le mécanisme exact, et le nom du directeur général ainsi que le nombre d’employés de la société n’étaient pas disponibles dans le paquet, ces informations restant à vérifier auprès des propres divulgations de l’entreprise.
Les équipes de sécurité devraient surveiller les mises à jour de F5 et de Sophos, appliquer les correctifs pour CVE‑2025‑53521, et envisager de renforcer leur chaîne de détection avec des outils d’inspection mémoire afin de se prémunir contre cette nouvelle technique d’évasion.