Red Heron Exploits Gitea RCE to Compromise 13 Organizations Across Six Countries

Campagne d’espionnage cybernétique : Le groupe Red Heron exploite Gitea

Le groupe de menace suspecté d’être lié à la Chine, « Red Heron », mène une campagne mondiale d’espionnage en exploitant une vulnérabilité critique dans Gitea. Les attaquants utilisent des outils automatisés pour compromettre des infrastructures sensibles (Défense, Énergie, Gouvernement) afin de voler du code source, des identifiants et d’effectuer des mouvements latéraux, notamment sur des environnements de virtualisation Proxmox.

Points clés :

• Mode opératoire : Automatisation rapide d’un exploit public pour scanner et compromettre des instances Gitea exposées sur Internet.
• Cibles : 13 organisations confirmées dans six pays (Canada, Argentine, Taïwan, États-Unis, Qatar, Sri Lanka).
• Outillage malveillant :
  • JITTERLY : Un implant Linux C++ permettant l’exécution de commandes distantes et le pivotement.
  • SIXZUT : Un rootkit LD_PRELOAD sophistiqué capable de dissimuler des processus, des fichiers et des connexions réseau pour assurer la persistance.

Vulnérabilité exploitée :

• CVE-2026-60004 : Vulnérabilité critique d’exécution de code à distance (RCE) dans Gitea, permettant une prise de contrôle totale du serveur.

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs de sécurité fournis par Gitea pour remédier à la CVE-2026-60004.
• Audit d’intégrité : Rechercher des signes de compromission (IoC) liés aux outils JITTERLY et SIXZUT, notamment des anomalies dans les fichiers de configuration système ou des processus masqués.
• Sécurisation des accès : Restreindre l’exposition des instances Gitea à Internet (utiliser un VPN ou une authentification forte par accès réseau).
• Monitoring : Surveiller les mouvements latéraux, particulièrement au sein des infrastructures de virtualisation comme Proxmox, souvent ciblées par ce groupe.

Source