Kritische Gitea-Ferncodeausführungslücke trifft 13 Organisationen

Eine kritische Remote-Code-Execution-Schwachstelle in Gitea, einem selbst gehosteten Dienst zum Speichern und Teilen von Quellcode, wurde ausgenutzt, um 13 Organisationen in sechs Ländern zu kompromittieren, so eine Analyse der Acronis Threat Research Unit (TRU). Der mutmaßlich chinesische Bedrohungsakteur mit dem Namen Red Heron weaponisierte CVE-2026-60004 und verwandelte öffentlich verfügbaren Exploit-Code nur wenige Tage nach Bekanntwerden der Schwachstelle im Juli 2026 in ein automatisiertes Python-Framework.

Acronis TRU berichtete, dass Red Heron 1.386 Gitea-Instanzen in sieben Ländern scannte und eine separate Liste mit 477 Systemen in Taiwan führte. Die Kampagne ging vom Diebstahl von Quellcode zur Einrichtung persistenten Zugriffs, zum Sammeln von Anmeldeinformationen und zur lateralen Bewegung durch kompromittierte Netzwerke über. In einem Fall erlangte der Akteur Root-Administratorzugriff auf einen dreiknotigen Proxmox-Cluster, eine Gruppe von Servern, die gemeinsam mit Proxmox-Virtualisierungssoftware verwaltet werden. Zu den bestätigten Opfern gehören Organisationen in Kanada (2), Argentinien (1), Taiwan (4), den Vereinigten Staaten (4), Katar (1) und Sri Lanka (1). Die Angreifer verwendeten vereinfachte chinesische Bezeichnungen, um Ziele in Sektoren wie Verteidigung, Wahlen, Energie, Luft- und Raumfahrt, Telekommunikation, Regierung, öffentliche Sicherheit und Forschung zu sortieren. Acronis gab an, mit mittlerer Sicherheit davon auszugehen, dass Red Heron in einem mit China verbundenen Kontext operiert, aufgrund des vereinfachten chinesischen Textes, der konsistenten Einstufung Taiwans als Teil Chinas durch den Cluster und einer Zielauswahl, die mit Chinas Prioritäten bei der nachrichtendienstlichen Sammlung übereinstimmt.

Auf einem dem Angreifer zugeschriebenen Staging-Server fanden Forscher ein C++-Linux-Implantat namens JITTERLY. Diese Backdoor unterstützt mehr als 30 Post-Exploitation-Befehle für Shell-Ausführung, Dateiübertragung, Prozessbeendigung, Netzwerk-Tunneling, interaktiven Terminalzugriff und internes Pivoting, was bedeutet, sich innerhalb eines Netzwerks von einer kompromittierten Maschine zu einer anderen zu bewegen. JITTERLY wurde zuvor im Juli 2026 von einem Forscher mit dem Online-Alias „dmpdump“ dokumentiert, der Überschneidungen mit dem AdaptixC2-Agenten beschrieb. Die Backdoor enthält außerdem einen bisher nicht dokumentierten LD_PRELOAD-Rootkit namens SIXZUT. LD_PRELOAD ist eine Linux-Funktion, mit der Programme beim Start zusätzlichen Code laden können, und der Rootkit nutzt sie, um 15 verschiedene Linux-Funktionen zu patchen, sodass er Dateien, Prozesse und Netzwerkverbindungen verbergen, die Erkennung oder Beendigung der Malware verhindern und sich selbst neu starten kann, wenn er beendet oder entfernt wird.

Die Ausnutzung begann am 29. Juli 2026, als Red Heron einen öffentlichen Proof-of-Concept in ein automatisiertes Python-Framework namens „exp_enhanced.py“ umwandelte. Der Sicherheitsforscher Subhajeet Singha sagte, das Framework sei in der Lage gewesen, Konten zu registrieren, anfällige Server auszunutzen, Repositories zu stehlen und ausgewählte Spuren zu entfernen. „Innerhalb weniger Tage nach der Offenlegung der Schwachstelle im Juli 2026 verwandelte Red Heron öffentlichen Proof-of-Concept-Code in ein automatisiertes Framework, das Konten registrieren, anfällige Server ausnutzen, Repositories stehlen und ausgewählte Spuren entfernen konnte“, sagte Singha. „Die Kampagne zeigt, wie schnell N-Day-Schwachstellen in selbst gehosteten Entwicklungsplattformen Quellcode, Anmeldeinformationen, Geheimnisse und verbundene Infrastruktur offenlegen können.“ Eine N-Day-Schwachstelle ist eine öffentlich bekannte Schwachstelle, für die möglicherweise ein Patch existiert, der aber noch nicht überall angewendet wurde.

Eine weitere Untersuchung des Staging-Servers zeigte mehr von den Methoden des Akteurs. Dieselbe Infrastruktur wurde verwendet, um 18 Joomla-basierte Websites in 10 Ländern mit einem Python-Skript namens „exp.py“ anzugreifen, bevor der Gitea-Exploit geklont wurde. Zu diesen Zielen gehörten eine im Ausland ansässige Bildungsberatungsfirma mit Sitz in Indien und ein in den USA ansässiger IT-Managed-Service-Provider. Der Akteur führte auch umfangreiche Aufklärung über eine argentinische Quantitative-Trading-Firma durch. Von einem taiwanesischen Unternehmen für industrielle Automatisierung exfiltrierten die Angreifer Hunderte von Repositories im Zusammenhang mit einem SCADA/HMI-Tool, also Software zur Steuerung und Überwachung industrieller Ausrüstung, sowie IoT-Plattformintegrationen, einen Netzwerk-Sniffer, Serverkonfigurationen, Überwachungs- und Monitoring-Produkte und interne Geschäftsanwendungen. Von einem Ziel in Katar stahlen sie Daten, darunter eine Lernmanagement-Plattform, einen KI-Chatbot, Workflow-Automatisierungstools und WordPress-Plugins. Bei einem kanadischen Unternehmen für erneuerbare Energien kartierte der Akteur die Infrastruktur und exfiltrierte Repositories, Konfigurationsgeheimnisse, interne Token, SSH-Host-Schlüssel und interne Anwendungen.

„Durch die Kombination automatisierter Gitea-Ausnutzung mit strukturierter Zielauswahl ging der Akteur vom Repository-Diebstahl zur Sammlung von Anmeldeinformationen, persistentem Zugriff und lateraler Bewegung durch die Umgebungen der Opfer über“, sagte Singha. „Sein Fokus auf Organisationen mit Bezug zu Wahlen, Verteidigung, Energie, Regierung und Forschung deutet auf gezielte Sammlungsprioritäten neben breiterem opportunistischem Scannen hin.“ Für Teams, die Entwicklungsplattformen oder andere internetzugewandte Dienste selbst hosten, ist der Vorfall eine Erinnerung daran, dass eine einzige ungepatchte Webanwendung Quellcode, Anmeldeinformationen und das weitere Netzwerk offenlegen kann. Organisationen, die selbst gehostete Tools betreiben, können ihr Risiko durch sicherheitsorientierte IT- und Infrastrukturberatung wie AEU-I verringern, die Teams dabei hilft, ihre Bereitstellungen zu bewerten und zu härten, bevor ein Angreifer dieselbe Lücke findet.