Una vulnerabilità critica di esecuzione di codice da remoto in Gitea colpisce 13 organizzazioni

Una vulnerabilità critica di esecuzione di codice da remoto in Gitea, un servizio self-hosted per conservare e condividere codice sorgente, è stata sfruttata per compromettere 13 organizzazioni in sei paesi, secondo un'analisi di Acronis Threat Research Unit (TRU). Il presunto attore cinese tracciato come Red Heron ha weaponizzato CVE-2026-60004, trasformando codice di exploit disponibile pubblicamente in un framework Python automatizzato solo pochi giorni dopo la divulgazione della falla a luglio 2026.

Acronis TRU ha riferito che Red Heron ha scansionato 1.386 istanze Gitea in sette paesi e ha tenuto un elenco separato di 477 sistemi basati a Taiwan. La campagna è passata dal furto di codice sorgente alla creazione di un accesso persistente, alla raccolta di credenziali e al movimento laterale attraverso le reti compromesse. In un caso, l'attore ha ottenuto un accesso amministrativo a livello root a un cluster Proxmox a tre nodi, un insieme di server gestiti insieme con software di virtualizzazione Proxmox. Le vittime confermate includono organizzazioni in Canada (2), Argentina (1), Taiwan (4), Stati Uniti (4), Qatar (1) e Sri Lanka (1). Gli attaccanti hanno usato etichette in cinese semplificato per ordinare gli obiettivi in settori tra cui difesa, elezioni, energia, aerospazio, telecomunicazioni, governo, sicurezza pubblica e ricerca. Acronis ha affermato di avere una fiducia moderata che Red Heron operi in un contesto legato alla Cina a causa del testo in cinese semplificato, della classificazione coerente del cluster di Taiwan come parte della Cina e di un'impronta di targeting che si allinea con le priorità di raccolta di intelligence della Cina.

Su un server di staging attribuito all'avversario, i ricercatori hanno trovato un implant Linux in C++ chiamato JITTERLY. Questa backdoor supporta più di 30 comandi post-sfruttamento per l'esecuzione di shell, il trasferimento di file, la terminazione di processi, il tunneling di rete, l'accesso interattivo al terminale e il pivoting interno, ovvero lo spostamento da una macchina compromessa a un'altra all'interno di una rete. JITTERLY era già stato documentato da un ricercatore con l'alias online "dmpdump" a luglio 2026, che ha descritto sovrapposizioni con l'agente AdaptixC2. La backdoor contiene anche un rootkit LD_PRELOAD precedentemente non documentato chiamato SIXZUT. LD_PRELOAD è una funzionalità di Linux che consente ai programmi di caricare codice aggiuntivo all'avvio, e il rootkit la usa per modificare 15 diverse funzioni di Linux in modo da poter nascondere file, processi e connessioni di rete, impedire che il malware venga rilevato o terminato e riavviarsi se viene terminato o rimosso.

Lo sfruttamento è iniziato il 29 luglio 2026, quando Red Heron ha trasformato un proof-of-concept pubblico in un framework Python automatizzato chiamato "exp_enhanced.py". Il ricercatore di sicurezza Subhajeet Singha ha affermato che il framework era in grado di registrare account, sfruttare server vulnerabili, rubare repository e rimuovere tracce selezionate. "Pochi giorni dopo la divulgazione della vulnerabilità a luglio 2026, Red Heron ha trasformato codice proof-of-concept pubblico in un framework automatizzato in grado di registrare account, sfruttare server vulnerabili, rubare repository e rimuovere tracce selezionate", ha detto Singha. "La campagna dimostra quanto rapidamente le vulnerabilità N-day nelle piattaforme di sviluppo self-hosted possano esporre codice sorgente, credenziali, segreti e infrastrutture collegate." Una vulnerabilità N-day è una falla nota pubblicamente per la quale potrebbe esistere una patch ma non è ancora stata applicata ovunque.

Un ulteriore esame del server di staging ha mostrato altri metodi dell'attore. La stessa infrastruttura è stata usata per colpire 18 siti web basati su Joomla in 10 paesi con uno script Python chiamato "exp.py" prima che l'exploit di Gitea fosse clonato. Quegli obiettivi includevano una società di consulenza per l'istruzione all'estero con sede in India e un fornitore di servizi IT gestiti con sede negli Stati Uniti. L'attore ha anche effettuato un'ampia ricognizione di una società argentina di trading quantitativo. Da un'azienda taiwanese di automazione industriale, gli attaccanti hanno esfiltrato centinaia di repository relativi a uno strumento SCADA/HMI, ovvero software usato per controllare e monitorare apparecchiature industriali, oltre a integrazioni di piattaforme IoT, un network sniffer, configurazioni di server, prodotti di sorveglianza e monitoraggio e applicazioni aziendali interne. Da un obiettivo con sede in Qatar, hanno rubato dati che includevano una piattaforma di learning management, un chatbot di intelligenza artificiale, strumenti di automazione dei flussi di lavoro e plugin WordPress. Presso un'azienda canadese di energia rinnovabile, l'attore ha mappato l'infrastruttura ed esfiltrato repository, segreti di configurazione, token interni, chiavi host SSH e applicazioni interne.

"Combinando lo sfruttamento automatizzato di Gitea con una selezione strutturata degli obiettivi, l'attore è passato dal furto di repository alla raccolta di credenziali, all'accesso persistente e al movimento laterale negli ambienti delle vittime", ha detto Singha. "La sua attenzione alle organizzazioni associate a elezioni, difesa, energia, governo e ricerca suggerisce priorità di raccolta deliberate insieme a una più ampia scansione opportunistica." Per i team che ospitano autonomamente piattaforme di sviluppo o qualsiasi servizio esposto a Internet, l'incidente è un promemoria che una singola applicazione web non aggiornata può esporre codice sorgente, credenziali e la rete più ampia. Le organizzazioni che gestiscono strumenti self-hosted possono ridurre la loro esposizione attraverso consulenza IT e infrastrutturale orientata alla sicurezza come AEU-I, che aiuta i team a valutare e rafforzare le loro implementazioni prima che un attaccante trovi la stessa lacuna.