Red Heron aprovecha una vulnerabilidad de ejecución remota de código (RCE) en Gitea para comprometer a 13 organizaciones de seis países

Un grupo de actores de amenazas vinculado a China, identificado como Red Heron, ha aprovechado con rapidez una vulnerabilidad crítica de ejecución remota de código en Gitea para atacar sistemas expuestos a internet en una campaña multinacional. Este grupo escaneó miles de instancias y desarrolló un marco automatizado en Python a partir de un código de prueba pública para registrar cuentas, explotar servidores vulnerables, robar repositorios y borrar rastros de su actividad.

La ofensiva afectó a organizaciones en varios países, entre ellos Canadá, Argentina, Taiwán, Estados Unidos, Catar y Sri Lanka, abarcando sectores como defensa, energía, aeroespacial, telecomunicaciones, gobierno y áreas de investigación. Las operaciones incluyeron el robo de código fuente, la recopilación de credenciales, el acceso persistente y movimientos laterales que llegaron a comprometer por completo clústeres mediante accesos de nivel de root.

Durante las operaciones, los atacantes utilizaron un implante de Linux en C++ llamado JITTERLY, el cual incluye comandos para la ejecución de comandos, transferencia de archivos y túneles de red, además de un rootkit denominado SIXZUT que oculta archivos, procesos y conexiones de red para evitar ser detectado. El análisis de su infraestructura también reveló ataques previos a sitios web de Joomla y la exfiltración masiva de datos y configuraciones en diversas empresas e instituciones extranjeras.