Red Heron nutzt Gitea-Lücke für internationale Cyberangriffe

Red Heron nutzt kritische Gitea-Lücke für internationale Cyberangriffe.

Die Acronis Threat Research Unit hat eine internationale Angriffskampagne auf öffentlich erreichbare Gitea-Server aufgedeckt . Die Gruppe Red Heron automatisierte die Ausnutzung einer kritischen Schwachstelle, um Quellcode, Zugangsdaten und interne Konfigurationen zu stehlen.

Zusammenfassung (TL; DR):

• Die Cybersicherheitsgruppe „Red Heron“, die Ermittler dem chinesischen Umfeld zuordnen, nutzt eine kritische Schwachstelle (CVE-2026-60004) in öffentlich erreichbaren Gitea-Servern. Damit führt sie automatisierte, internationale Angriffe auf sensible Sektoren wie Energie, Industrie und Wahlen durch.
• Bei den Attacken entwenden die Täter nicht nur wertvollen Quellcode und interne Konfigurationsdaten. Sie sichern sichern sich über kompromittierte Entwicklungsserver oft weitreichenden Zugriff auf die gesamte Unternehmensinfrastruktur.
• Zur dauerhaften Absicherung nutzen die Angreifer das neu entdeckte Linux-Rootkit „SIXZUT“. Dieses tarnt Schadsoftware, verbirgt Prozesse vor Systemwerkzeugen und macht betroffenen Unternehmen ein vollständiges Neuaufsetzen der Server erforderlich.

Organisationen aus dem Energie- und Industriesektor betroffen

Im Visier standen unter anderem Organisationen aus dem Energie- und Industriesektor sowie Systeme mit Bezug zu Wahlen. Ein neu entdecktes Linux-Rootkit ermöglichte den Angreifern zudem, ihre Aktivitäten zu verbergen und den Zugriff auf kompromittierte Unternehmensnetzwerke dauerhaft abzusichern.

Die Acronis Threat Research Unit (TRU) hat eine internationale Cyberangriffskampagne gegen öffentlich erreichbare Gitea-Server aufgedeckt. Die als „Red Heron“ bezeichnete Tätergruppe nutzte die kritische Schwachstelle CVE-2026-60004, um Schadcode auf verwundbaren Systemen auszuführen, Quellcode zu entwenden und sich dauerhaften Zugang zu Unternehmensnetzwerken zu verschaffen.

Acronis ordnet Red Heron mit mittlerer Sicherheit einem chinesischsprachigen und mit der Volksrepublik China verbundenen operativen Umfeld zu. Grundlage sind unter anderem chinesischsprachige Arbeitsunterlagen, die Klassifizierung der Ziele, die Behandlung Taiwans in den Datensätzen und die beobachteten Auswahlmuster.

Angriff innerhalb weniger Tage automatisiert

Nach Erkenntnissen der Acronis-Experten entwickelte Red Heron innerhalb weniger Tage nach Veröffentlichung eines öffentlich verfügbaren Proof of Concept ein automatisiertes Angriffswerkzeug. Damit konnten die Angreifer nach verwundbaren Installationen suchen, Benutzerkonten registrieren, manipulierte Patches einreichen, Befehle ausführen und Repositories sowie Datenbanken kopieren. War auf einem öffentlich erreichbaren Gitea-Server die offene Benutzerregistrierung aktiviert, benötigten die Angreifer kein zuvor kompromittiertes Konto. Die offene Registrierung ist nicht selbst die Schwachstelle, erleichterte jedoch die vollständige Angriffskette.

Weitgehender Diebstahl

Bei mehreren Opfern beschränkten sich die Angreifer nicht auf den Diebstahl von Quellcode. Sie sammelten außerdem:

• Passwort-Hashes und Datenbankinhalte
• API-, JWT- und interne Zugriffstoken
• SSH-Schlüssel
• Server- und Anwendungskonfigurationen
• Informationen über interne Netzwerke und Container
• Quellcode interner Geschäfts- und Industriesysteme
• Viktimologie mit Schwerpunkt USA und Taiwan

Mischung aus opportunistischer Suche und gezielter Auswahl

Die Analyse zeigt eine Mischung aus breiter, opportunistischer Suche und gezielter Auswahl strategisch interessanter Organisationen. Red Heron überprüfte insgesamt 1.386 Gitea-Instanzen in sieben Ländern. Die Ziele wurden unter anderem den Bereichen Wahlen und Demokratie, Verteidigung, Drohnenentwicklung, Energie, Luft- und Raumfahrt, Telekommunikation, kommunale Verwaltung, Forschung, Bildung, industrielle Automatisierung, Finanztechnologie und Nichtregierungsorganisationen zugeordnet.

Zu den besonders intensiv betroffenen US-Zielen gehörte eine Gitea-Instanz mit der Bezeichnung „MI Voter Dashboard Git“, gegen die 14 Exploit-Sitzungen dokumentiert wurden. Acronis konnte jedoch keine Verbindung dieses Systems zur offiziellen Wahlinfrastruktur des Bundesstaates Michigan unabhängig bestätigen.

Unternehmen aus dem Bereich erneuerbare Energien kompromittiert

Zudem wurde ein kanadisches Unternehmen aus dem Bereich erneuerbare Energien kompromittiert. Dort erlangten die Angreifer Zugriff auf Teile der Entwicklungsinfrastruktur, interne Anwendungen, Konfigurationsgeheimnisse und Zugriffsschlüssel. Zusätzlich hinterlegten sie SSH-Schlüssel für einen dauerhaften Zugang und richteten eine Rückverbindung zu ihrer eigenen Infrastruktur ein.

Bei einem taiwanischen Industrieautomatisierungsunternehmen kopierten die Angreifer Hunderte Repositories. Diese enthielten unter anderem Quellcode für Überwachungs- und Steuerungslösungen, SCADA- und HMI-Systeme, IoT-Integrationen, Netzwerkanalyse sowie interne Anwendungen. In einem weiteren taiwanischen Umfeld gelangten die Angreifer von einem kompromittierten Gitea-System bis zur administrativen Kontrolle eines aus drei Servern bestehenden Proxmox-Clusters. Dort luden sie Schadsoftware auf mehrere Knoten und stießen Sicherungen virtueller Maschinen an. Bei erfolgreicher Übertragung hätten dadurch nicht nur einzelne Repositories, sondern vollständige virtuelle Server kopiert werden können.

Neues Linux-Rootkit erschwert die Erkennung

Im Rahmen der Untersuchung identifizierte Acronis die Linux-Schadsoftware „akazi JITTERLY“. Sie ermöglicht unter anderem die Ausführung von Befehlen, Dateiübertragungen, interaktive Terminalzugriffe, Portweiterleitungen und die Bewegung innerhalb eines Unternehmensnetzwerks. Insgesamt unterstützt das Implantat mehr als 30 Funktionen für Aktivitäten nach einer erfolgreichen Kompromittierung.

JITTERLY enthält das bislang nicht öffentlich dokumentierte Rootkit „SIXZUT“. Ein Rootkit dient dazu, die Anwesenheit von Schadsoftware auf einem System zu verbergen. SIXZUT kann Dateien, Prozesse und Netzwerkverbindungen vor gängigen Linux-Werkzeugen ausblenden, das Beenden des Schadprozesses verhindern und JITTERLY erneut starten.

Das Rootkit wird über die Datei /etc/ld.so.preload in laufende Linux-Prozesse geladen und tarnt sich unter dem Namen libglthread.so.2 als vermeintlich legitime Systembibliothek. Dadurch können Prüfungen direkt auf einem laufenden, bereits kompromittierten Server unzuverlässige Ergebnisse liefern.

Die Auswirkungen von Red Heron

„Der Fall zeigt, dass ein kompromittierter Entwicklungsserver weit mehr als ein einzelnes IT-System gefährden kann. In Code-Repositories befinden sich häufig Zugangsdaten, Konfigurationen und Verbindungen zu produktiven Umgebungen. Dadurch kann eine Schwachstelle in einer Entwicklungsplattform zum Ausgangspunkt für einen umfassenden Angriff auf die Unternehmensinfrastruktur werden“, so Subhajeet Singha, Senior Threat Research bei Acronis TRU.

Empfehlungen für Unternehmen mit selbst gehosteten Gitea-Instanzen:

• Gitea auf Version 1.27.1 oder eine neuere abgesicherte Version aktualisieren.
• Offene Benutzerregistrierung deaktivieren, sofern sie nicht benötigt wird.
• Öffentlich erreichbare Instanzen nach Möglichkeit durch VPN, vorgeschaltete Authentifizierung oder Netzwerkregeln schützen.
• Die seit Bekanntwerden der Schwachstelle angelegte Konten und Repositories überprüfen.
• Web- und Proxy-Protokolle auf unerwartete Zugriffe auf den diffpatch-Endpunkt untersuchen.
• Prüfen, ob der Gitea-Prozess Shells, Interpreter oder Programme wie curl gestartet hat.
• SSH-Schlüssel, Tokens und Zugangsdaten kontrollieren und gegebenenfalls austauschen
• Änderungen anBot /etc/ld.so.preload untersuchen.
• Nach den Artefakten libglthread.so.2, .ld_aux_cahe und /tmp/.X11-unix.lk suchen.

Fazit

Da SIXZUT verdächtige Dateien und Prozesse vor Werkzeugen im laufenden System verbergen kann, sollten entsprechende Prüfungen über vertrauenswürdige EDR-Telemetrie, ein Offline-Abbild oder ein bekannt sauberes Rettungssystem erfolgen.

Bei bestätigter Kompromittierung empfiehlt Acronis, den betroffenen Server vollständig aus einer vertrauenswürdigen Quelle neu aufzusetzen. Eine Bereinigung des laufenden Systems kann aufgrund der Tarn- und Wiederherstellungsfunktionen des Rootkits unzuverlässig sein. Sämtliche auf dem System gespeicherten Passwörter, Tokens und Schlüssel sollten als offengelegt betrachtet und ausgetauscht werden. Unternehmen sollten außerdem davon ausgehen, dass Quellcode und Repository-Inhalte kopiert worden sein könnten.

Häufige Fragen (FAQ)