Um malware ligado a invasões em dispositivos F5 BIG-IP Access Policy Manager esconde um shell web PHP na memória em vez de em um arquivo no disco, de acordo com análise publicada pela Sophos em 7 de setembro. Quando o Apache carrega qualquer um dos três scripts PHP dos dispositivos, o malware adiciona o shell web à cópia mantida na memória, permitindo que uma verificação do arquivo no disco retorne limpa. Os três scripts são carregados pelo Apache.
Detalhes Técnicos
O malware é carregado na memória.
Ele modifica scripts PHP em memória.
Permite ao atacante ter acesso ao dispositivo sem deixar rastros no disco.
Ações Recomendadas
Verifique dispositivos F5 BIG-IP APM em busca de sinais de comprometimento.
Atualize e aplique patches de segurança.
Monitore o tráfego de rede para detectar atividades suspeitas.
