Red Heron khai thác lỗ hổng Gitea để xâm nhập 13 tổ chức
"A suspected China-linked threat actor, Red Heron, rapidly exploited CVE-2026-60004, a critical Gitea remote code execution flaw, to compromise internet-facing instances across multiple countries. The campaign led to source-code theft, credential collection, persistent access, lateral movement, and confirmed compromises of 13 organizations; the article also describes associated Linux malware (JITTERLY) and an LD_PRELOAD rootkit (SIXZUT) used for post-exploitation and stealth."
CVE-2026-60004 đang bị khai thác thực tế; nguy cơ rò rỉ mã nguồn và bí mật rất cao. Việc xuất hiện JITTERLY và SIXZUT cho thấy khả năng duy trì hiện diện và ẩn mình sau xâm nhập.
Có thể gây gián đoạn phát triển phần mềm, lộ tài sản trí tuệ và ảnh hưởng đến hạ tầng liên kết. Các tổ chức dùng Gitea tự quản trị cần xử lý sớm để giảm rủi ro lan rộng.
Một tác nhân đe dọa bị nghi có liên hệ với Trung Quốc, được theo dõi với tên Red Heron, đã khai thác nhanh CVE-2026-60004 trên Gitea để tấn công các hệ thống kết nối Internet tại nhiều quốc gia. Theo phân tích, nhóm này đã quét 1.386 phiên bản Gitea ở 7 quốc gia, sau đó mở rộng sang thu thập mã nguồn, thông tin xác thực, duy trì truy cập và di chuyển ngang trong mạng nội bộ.
Chiến dịch được ghi nhận đã ảnh hưởng đến 13 tổ chức tại Canada, Argentina, Đài Loan, Mỹ, Qatar và Sri Lanka, với các mục tiêu trải rộng ở lĩnh vực quốc phòng, bầu cử, năng lượng, hàng không vũ trụ, viễn thông, chính phủ và nghiên cứu. Trong một môi trường tại Đài Loan, kẻ tấn công còn đạt quyền root trên cụm Proxmox gồm 3 nút.
Phân tích hạ tầng cho thấy mã độc Linux JITTERLY và rootkit SIXZUT dùng để che giấu tệp, tiến trình và kết nối mạng. Do lỗ hổng đã bị khai thác thực tế, các tổ chức nên ưu tiên vá ngay, rà soát log truy cập, kiểm tra tài khoản và khóa bí mật bị lộ, đồng thời cô lập các máy chủ Gitea công khai nếu chưa thể cập nhật kịp thời.