Un malware en F5 BIG-IP APM inyecta una *web shell* PHP en la memoria, evadiendo los análisis de disco.

Un malware vinculado a intrusiones en dispositivos F5 BIG-IP Access Policy Manager oculta una web shell PHP en la memoria en lugar de en un archivo del disco, según indicó Sophos en un análisis publicado el 7 de septiembre.

Cuando Apache carga cualquiera de los tres scripts PHP propios de los dispositivos, el malware añade la web shell a la copia almacenada en memoria; por ello, una comprobación del archivo en el disco puede arrojar un resultado limpio. Estos tres scripts son los mismos que F5 señaló a sus clientes en marzo, cuando advirtió que las modificaciones en ellos por sí solas no revelan una intrusión.

Una web shell suele ser un pequeño script que un atacante coloca en las carpetas de un servidor web para ejecutar comandos mediante peticiones web convencionales. Dado que reside en el disco, los equipos de defensa la buscan escaneando archivos y comparándolos con copias legítimas conocidas.