Security · 9.9.2026
Eine neuartige Malware-Kampagne attackiert F5 BIG-IP APM-Appliances und umgeht herkömmliche Festplatten-Scans durch eine direkte Speicher-Injektion.
Eine hochentwickelte Malware-Kampagne nimmt derzeit F5 BIG-IP Access Policy Manager (APM) Appliances ins Visier. Die Angreifer nutzen eine raffinierte Methode, bei der eine PHP-Webshell direkt in den Arbeitsspeicher injiziert wird, anstatt sie physisch auf der Festplatte abzulegen. Dadurch gelingt es der Schadsoftware, traditionelle dateibasierte Sicherheits- und Integritätsscans unbemerkt zu umgehen.
F5 BIG-IP Appliances sind in vielen mittelständischen und großen Unternehmen im DACH-Raum als zentrale Gateways für den sicheren Fernzugriff und das Identity Management im Einsatz. Ein erfolgreicher Kompromiss dieser Systeme gefährdet das gesamte nachgelagerte Netzwerk. Da die Schadsoftware ausschließlich im Arbeitsspeicher operiert, versagen klassische Antiviren-Scanner, die auf Dateiebene arbeiten. Die Injektion erfolgt dynamisch, sobald der Apache-Webserver legitime PHP-Skripte der Appliance lädt. Dies erschwert die Erkennung für Administratoren erheblich und erfordert spezialisierte Forensik-Methoden sowie eine kontinuierliche Überwachung des Systemverhaltens.
IT-Verantwortliche und Systemadministratoren müssen umgehend aktiv werden, um potenzielle Infektionen zu identifizieren und abzuwehren. Folgende Maßnahmen werden dringend empfohlen:
Der Fall zeigt eindringlich, dass dateilose Angriffe zunehmend auch auf spezialisierte Netzwerk-Appliances ausgeweitet werden. Ein reines Verlassen auf signaturbasierte Schutzsoftware ist in modernen IT-Infrastrukturen nicht mehr ausreichend.
Quelle: The Hacker News