Security · 8.9.2026
Sicherheitsforscher warnen vor Angriffen auf F5 BIG-IP-Systeme, bei denen ein hochentwickeltes Linux-Rootkit eine Webshell direkt im Arbeitsspeicher platziert.
Sicherheitsforscher haben eine hochentwickelte Angriffskampagne aufgedeckt, die gezielt F5 BIG-IP-Geräte mit aktiviertem Access Policy Manager (APM) ins Visier nimmt. Dabei nutzen die Akteure ein spezialisiertes Linux-Rootkit, das sich tief im System einnistet und die Ausführung von PHP-Dateien manipuliert. Auf diese Weise wird eine Schadsoftware direkt in den Arbeitsspeicher injiziert, wodurch die Angreifer keine verräterischen Dateien auf der Festplatte hinterlassen müssen.
Die F5 BIG-IP-Plattform ist in vielen mittelständischen und großen Unternehmen sowie Behörden im DACH-Raum eine zentrale Infrastrukturkomponente für das Application Delivery und den sicheren Fernzugriff. Ein erfolgreicher Kompromiss dieser Systeme betrifft das gesamte Sicherheitskonzept des Netzwerks. Da dieses Rootkit als dateilose Bedrohung agiert, bleibt es für herkömmliche Sicherheits-Scanner und Integritätsprüfungen auf Dateiebene nahezu unsichtbar. Angreifer können über die Webshell dauerhaften administrativen Zugriff erlangen, Zugangsdaten abfangen und sich lateral im Unternehmensnetzwerk bewegen.
IT-Verantwortliche und Administratoren sollten ihre F5-Appliances umgehend einer gründlichen Überprüfung unterziehen. Folgende Maßnahmen sind dringend empfohlen:
Der Vorfall verdeutlicht, dass Netzwerkinfrastrukturen und VPN-Gateways weiterhin im Fokus professioneller Angreifer stehen. Da dateilose Angriffe schwer zu detektieren sind, gehören die Härtung der Systeme und eine restriktive Netzwerksegmentierung zu den wichtigsten Verteidigungsmaßnahmen für Unternehmen.
Quelle: BleepingComputer