Red Heron machte aus einer Gitea-Lücke binnen Tagen ein automatisiertes Hacking-Framework, zeigt neue Studie

Ein als Red Heron verfolgter Bedrohungsakteur hat eine öffentlich bekannt gewordene Gitea-Schwachstelle binnen weniger Tage nach ihrer Veröffentlichung in ein funktionierendes, automatisiertes Exploit-Framework verwandelt. Das zeigt eine am 14. September veröffentlichte Untersuchung der Threat Research Unit (TRU) von Acronis. Die Kampagne scannte 1.386 selbst gehostete Gitea-Instanzen in sieben Ländern und bestätigte Kompromittierungen bei 13 Organisationen in sechs Ländern: den USA (4), Taiwan (4), Kanada (2), Argentinien (1), Katar (1) und Sri Lanka (1).

Vom Proof of Concept zum Produktionswerkzeug in wenigen Tagen

Die Schwachstelle CVE-2026-60004 ist eine kritische Remote-Code-Execution-Lücke (RCE) in Gitea, dem selbst gehosteten Git-Dienst, den Organisationen nutzen, die nicht auf GitHub oder GitLab für die Versionsverwaltung angewiesen sein wollen. Sie wurde im Juli 2026 öffentlich bekannt gegeben. Red Heron begann am 29. Juli mit der aktiven Ausnutzung und verwandelte einen öffentlichen Proof of Concept in exp_enhanced.py, ein automatisiertes Python-Framework, das Konten registrieren, verwundbare Server ausnutzen, komplette Code-Repositories stehlen und Spuren des Eindringens gezielt beseitigen kann. Die Geschwindigkeit dieser Umsetzung zeige, so die Forscher, wie schmal das Zeitfenster zwischen der Offenlegung einer Schwachstelle und ihrer massenhaften Bewaffnung inzwischen geworden ist.

Ein neues Rootkit, das sich mitten im Sichtbaren versteckt

Nach dem Eindringen in ein Zielsystem setzte Red Heron zwei bislang nicht katalogisierte, eigens entwickelte Tools ein. SIXZUT ist ein Linux-Rootkit, das mittels der LD_PRELOAD-Technik 15 verschiedene kernelnahe Linux-Funktionen patcht und so bösartige Dateien, Prozesse und Netzwerkverbindungen vor Standard-Erkennungstools und Administratoren verbirgt. JITTERLY ist eine in C++ geschriebene Backdoor, die mehr als 30 Post-Exploitation-Befehle unterstützt – Shell-Ausführung, Dateitransfer, Prozessbeendigung, Netzwerk-Tunneling, interaktiven Terminalzugriff und laterale Bewegung im internen Netzwerk. In einer bestätigten taiwanischen Umgebung verfolgte Acronis TRU, wie Red Heron ausgehend von einem zunächst kompromittierten Gitea-Server schließlich administrativen Root-Zugriff auf einen kompletten dreiknotigen Proxmox-Virtualisierungscluster erlangte.

Wer angegriffen wurde – und warum das wichtig ist

Bestätigte und versuchte Ziele erstrecken sich über die Sektoren Verteidigung, Wahlinfrastruktur, Energie, Luft- und Raumfahrt, Telekommunikation, Regierung, öffentliche Sicherheit und Forschung – ein Zielprofil, das eher auf Informationsbeschaffung als auf finanziell motivierte Cyberkriminalität hindeutet. Die Forscher schreiben die Kampagne mit mittlerer Zuversicht einem chinanahen Akteur zu, gestützt auf Artefakte in vereinfachtem Chinesisch innerhalb der Tools, eine auf Taiwan zugeschnittene Zielauswahl- und Klassifizierungsmethodik in den eigenen operativen Daten des Angreifers sowie ein Zielprofil, das mit bekannten Prioritäten des chinesischen Nachrichtendienstes übereinstimmt.

Das Risiko selbst gehosteter Software, das dieser Fall offenlegt

Der Reiz von Gitea liegt gerade darin, dass Organisationen damit Git-Infrastruktur betreiben können, ohne von GitHub oder GitLab abhängig zu sein – doch dieselbe selbst gehostete Unabhängigkeit bedeutet auch, dass das Einspielen von Patches vollständig in der Verantwortung des Betreibers liegt, ohne erzwungenen Update-Zyklus durch einen SaaS-Anbieter. Organisationen mit selbst gehosteten Gitea-Instanzen sollten CVE-2026-60004 als aktiv und automatisiert in freier Wildbahn ausgenutzt behandeln, nicht als theoretisches Risiko, und davon ausgehen, dass jede ungepatchte, über das Internet erreichbare Instanz vermutlich bereits von Red Herons Tools gescannt wurde. Die kompromittierten Repositories stellen zudem ein eigenständiges Lieferkettenrisiko dar: Quellcode-Diebstahl bei Zielen aus den Sektoren Verteidigung, Luft- und Raumfahrt sowie Energie kann Folgeangriffe gegen nachgelagerte Kunden und Partner ermöglichen.