Um threat actor chinês suspeito, monitorado sob o nome Red Heron, foi atribuído à exploração rápida de uma vulnerabilidade de segurança divulgada recentemente no Gitea, usada para comprometer instâncias expostas à internet em uma campanha multinacional.
“Red Heron examinou 1.386 instâncias do Gitea em sete países e manteve um conjunto de dados separado com 477 sistemas baseados em Taiwan”, afirmou a Acronis Threat Research Unit (TRU) em uma análise. “A atividade evoluiu de roubo de código-fonte para acesso persistente, coleta de credenciais e movimento lateral, incluindo acesso com privilégios de root a um cluster Proxmox com três nós.”
Segundo a empresa, a atividade resultou em compromissos confirmados em organizações no Canadá (2), na Argentina (1), em Taiwan (4), nos Estados Unidos (4), no Catar (1) e no Sri Lanka (1). O threat actor usou rótulos em chinês simplificado para classificar alvos em setores de defesa, eleições, energia, aeroespacial, telecomunicações, governo, segurança pública e pesquisa.
A empresa de cibersegurança de Singapura avaliou que o Red Heron opera em um contexto ligado à China com confiança moderada, devido à presença do chinês simplificado, à classificação consistente de Taiwan como parte da China e ao padrão de alvos, que se alinha às prioridades de coleta de inteligência do país.
Uma análise de um servidor de preparação atribuído ao adversário revelou um implant em C++ para Linux batizado de JITTERLY, que oferece suporte a mais de 30 comandos de pós-exploração relacionados à execução de shell, transferência de arquivos, encerramento de processos, tunelamento de rede, acesso a terminal interativo e movimentação interna na rede. O JITTERLY já havia sido documentado por um pesquisador que usa o alias online “dmpdump” em julho de 2026, quando foi descrito como semelhante ao agente do AdaptixC2.
Dentro da backdoor também foi identificado um rootkit LD_PRELOAD antes não documentado, chamado SIXZUT, capaz de ocultar arquivos, processos e conexões de rede ao aplicar patch em 15 funções diferentes do Linux. O objetivo é encobrir vestígios da atividade maliciosa, impedir a detecção e a remoção do malware e até restaurá-lo caso seja encerrado ou apagado.
O Red Heron foi observado transformando em arma a CVE-2026-60004, uma vulnerabilidade crítica de execução remota de código no Gitea, para examinar milhares de instâncias em sete países. A partir de 29 de julho de 2026, o grupo converteu um exploit público da falha em um framework automatizado em Python, chamado “exp_enhanced.py”.
“Em poucos dias após a divulgação da vulnerabilidade em julho de 2026, o Red Heron transformou código público de prova de conceito em um framework automatizado capaz de registrar contas, explorar servidores vulneráveis, roubar repositórios e remover rastros selecionados”, afirmou o pesquisador de segurança Subhajeet Singha. “A campanha mostra como vulnerabilidades N-day em plataformas de desenvolvimento autogerenciadas podem expor rapidamente código-fonte, credenciais, segredos e infraestrutura conectada.”
Em um ambiente de Taiwan, o threat actor foi visto avançando de um servidor Gitea vulnerável para acesso administrativo com privilégios de root em um cluster Proxmox com três nós. Uma análise mais aprofundada do servidor de preparação revelou a tática do invasor:
- Usar a mesma infraestrutura para atingir 18 sites baseados em Joomla em 10 países por meio de um script em Python (“exp.py”), antes de clonar o exploit da CVE-2026-60004. Entre os alvos estavam uma empresa de consultoria em educação internacional sediada na Índia e um provedor de serviços gerenciados de TI dos Estados Unidos.
- Realizar um amplo reconhecimento de uma empresa argentina de trading quantitativo.
- Exfiltrar dados de uma empresa taiwanesa de automação industrial, incluindo centenas de repositórios relacionados a uma ferramenta de SCADA/HMI, integrações de plataformas IoT, um analisador de rede, configurações de servidores, um produto de vigilância e monitoramento e aplicativos internos de negócios.
- Exfiltrar dados de um alvo no Catar, incluindo uma plataforma de gestão de aprendizado, um chatbot de IA, ferramentas de automação de fluxos de trabalho e plugins do WordPress.
- Mapear de forma extensa a infraestrutura de uma empresa canadense de energia renovável, com exfiltração de repositórios, segredos de configuração, tokens internos, chaves host SSH e aplicativos internos.
“Ao combinar a exploração automatizada do Gitea com a seleção estruturada de alvos, o ator avançou do roubo de repositórios para a coleta de credenciais, acesso persistente e movimento lateral nos ambientes das vítimas”, disse Singha. “O foco em organizações associadas a eleições, defesa, energia, governo e pesquisa sugere prioridades deliberadas de coleta, além de uma varredura oportunista mais ampla.”
Publicidade
Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...