Red Heron aprovecha una vulnerabilidad de ejecución remota de código (RCE) en Gitea para comprometer a 13 organizaciones de seis países

Un grupo de ac­to­res de ame­na­zas vin­cu­la­do a China, iden­ti­fi­ca­do como Red Heron, ha apro­ve­cha­do con ra­pi­dez una vul­ne­ra­bi­li­dad crí­ti­ca de eje­cu­ción re­mo­ta de có­di­go en Gitea para ata­car sis­te­mas ex­pues­tos a in­ter­net en una cam­pa­ña mul­ti­na­cio­nal. Este grupo es­ca­neó miles de ins­tan­cias y de­sa­rro­lló un marco au­to­ma­ti­za­do en Python a par­tir de un có­di­go de prue­ba pú­bli­ca para re­gis­trar cuen­tas, ex­plo­tar ser­vi­do­res vul­ne­ra­bles, robar re­po­si­to­rios y bo­rrar ras­tros de su ac­ti­vi­dad.

La ofen­si­va afec­tó a or­ga­ni­za­cio­nes en va­rios paí­ses, entre ellos Ca­na­dá, Ar­gen­ti­na, Tai­wán, Es­ta­dos Uni­dos, Catar y Sri Lanka, abar­can­do sec­to­res como de­fen­sa, ener­gía, ae­ro­es­pa­cial, te­le­co­mu­ni­ca­cio­nes, go­bierno y áreas de in­ves­ti­ga­ción. Las ope­ra­cio­nes in­clu­ye­ron el robo de có­di­go fuen­te, la re­co­pi­la­ción de cre­den­cia­les, el ac­ce­so per­sis­ten­te y mo­vi­mien­tos la­te­ra­les que lle­ga­ron a com­pro­me­ter por com­ple­to clús­te­res me­dian­te ac­ce­sos de nivel de root.

Du­ran­te las ope­ra­cio­nes, los ata­can­tes uti­li­za­ron un im­plan­te de Linux en C++ lla­ma­do JITTERLY, el cual in­clu­ye co­man­dos para la eje­cu­ción de co­man­dos, trans­fe­ren­cia de ar­chi­vos y tú­ne­les de red, ade­más de un root­kit de­no­mi­na­do SIXZUT que ocul­ta ar­chi­vos, pro­ce­sos y co­ne­xio­nes de red para evi­tar ser de­tec­ta­do. El aná­li­sis de su in­fra­es­truc­tu­ra tam­bién re­ve­ló ata­ques pre­vios a si­tios web de Joom­la y la ex­fil­tra­ción ma­si­va de datos y con­fi­gu­ra­cio­nes en di­ver­sas em­pre­sas e ins­ti­tu­cio­nes ex­tran­je­ras.