F5 BIG-IP APM piraté : un rootkit Linux vit dans la mémoire d'Apache

F5 a confirmé l'exploitation active d'une faille critique dans BIG-IP Access Policy Manager (APM), sa passerelle d'accès distant utilisée par de nombreuses grandes entreprises. De leur côté, Sophos et ESET ont analysé, chacun indépendamment, un rootkit Linux découvert sur des boîtiers compromis — vraisemblablement une charge déployée après coup, une fois la faille exploitée. Sa particularité : il n'écrit presque rien sur le disque.

Une porte dérobée qui ne vit qu'en mémoire

Selon l'analyse de Sophos, l'implant arrive en deux temps. Un premier composant, jouant le rôle d'installeur, modifie le binaire Apache /usr/sbin/httpd des boîtiers BIG-IP APM puis détourne le chargement de la bibliothèque PHP pour intercepter les appels mémoire du serveur web. Quand Apache charge trois fichiers PHP légitimes de l'interface webtop de l'APM, le rootkit insère un web shell directement dans les pages mémoire correspondantes, sans toucher aux fichiers sur disque : les outils qui vérifient l'intégrité des fichiers au repos ne voient rien d'anormal.

Le web shell se déclenche sur un préfixe précis reçu en POST, déchiffre son instruction et l'exécute, tout en renvoyant une réponse HTTP 201 avec un en-tête « text/css » pour se fondre dans le trafic normal. L'implant ouvre en plus une socket Unix locale protégée par mot de passe, capable de lancer un shell bash sans jamais ouvrir de port TCP — invisible à un scan réseau classique. L'installeur modifie aussi la configuration SELinux et s'accroche au mécanisme de mise à jour du firmware BIG-IP, si bien qu'une simple mise à niveau de l'appliance ne suffit pas forcément à l'éliminer.

ESET a baptisé ce rootkit « PoisonedRefresh » ; Sophos le détecte sous le nom Linux/Agnt-IC. Les deux équipes ont comparé leurs résultats et confirment qu'il s'agit du même implant.

CVE-2025-53521 : d'une simple panne à une prise de contrôle totale

La faille associée, CVE-2025-53521, touche le composant APM quand une politique d'accès est rattachée à un serveur virtuel BIG-IP. Elle permet l'exécution de code à distance sans authentification : une requête forgée suffit, sans identifiant volé ni erreur de configuration particulière au-delà d'un usage courant de l'APM.

F5 avait publié un correctif dès octobre 2025, quand la faille était classée comme un simple bug de déni de service de sévérité moyenne. Ce n'est qu'à la fin mars 2026 que F5 l'a reclassée en exécution de code critique, avec un score CVSS proche de 9,8, après avoir constaté des attaques réelles déployant des web shells sur des boîtiers non mis à jour. La CISA a ajouté la CVE à son catalogue des vulnérabilités activement exploitées le 27 mars 2026, imposant aux agences fédérales américaines un correctif sous trois jours. L'exploitation active est donc confirmée, mais elle ne concerne en pratique que les boîtiers restés sans le correctif — disponible depuis octobre 2025.

Pourquoi les boîtiers d'accès distant restent une cible de choix

BIG-IP APM n'est pas un serveur web comme un autre : c'est une passerelle d'accès distant et de gestion d'identité, exposée en frontal sur internet et souvent maintenue avec prudence pour éviter toute coupure de service. La compromettre offre une vue directe sur les flux d'authentification et un point d'entrée vers le réseau interne — la même logique qui a rendu les boîtiers Ivanti, Citrix ou Fortinet si recherchés ces dernières années.

Le contexte n'aide pas : F5 avait révélé en octobre 2025 une intrusion attribuée à un acteur étatique « hautement sophistiqué », qui avait exfiltré du code source de BIG-IP et des informations sur des failles alors non publiées. Rien dans les sources consultées ne relie formellement cet incident à la campagne de rootkit décrite ici, mais il illustre à quel point le code et la connaissance des failles de F5 sont devenus une cible en soi.

« la capacité de web shell existe toujours, mais elle n'est plus ancrée dans un fichier statique sur le disque » — Luke Mitchell, chercheur chez Sophos X-Ops (source)

Ce qui reste à confirmer

• Le nombre réel de boîtiers effectivement infectés : les chiffres publics (plus de 850 IP encore vulnérables selon Shadowserver et le NCSC néerlandais, après un pic à plus de 14 000 instances exposées) mesurent l'exposition à la faille, pas une compromission confirmée.

• L'attribution de la campagne à un groupe précis n'est établie dans aucune des sources consultées.

• L'étendue géographique et sectorielle des cibles réellement touchées par le rootkit n'est pas détaillée publiquement à ce stade.

Source

Bleeping Computer, « Hackers breach F5 BIG-IP APM devices to deploy Linux rootkit » — article

Sophos X-Ops, « Dissecting a PHP web server rootkit » — article

F5, bulletin de sécurité K000156741 (CVE-2025-53521) — article

The Hacker News, « CISA Adds CVE-2025-53521 to KEV After Active F5 BIG-IP APM Exploitation » — article