Red Heron transformou uma falha do Gitea em um framework de hacking automatizado em poucos dias, revela nova pesquisa

Um agente de ameaça rastreado como Red Heron transformou uma vulnerabilidade do Gitea divulgada publicamente em um framework de exploração automatizado e funcional em poucos dias após sua publicação, segundo pesquisa divulgada em 14 de setembro pela Threat Research Unit (TRU) da Acronis. A campanha escaneou 1.386 instâncias autogerenciadas do Gitea em sete países e confirmou comprometimentos em 13 organizações espalhadas por seis países: Estados Unidos (4), Taiwan (4), Canadá (2), Argentina (1), Catar (1) e Sri Lanka (1).

De prova de conceito a ferramenta de produção em poucos dias

A vulnerabilidade, CVE-2026-60004, é uma falha crítica de execução remota de código (RCE) no Gitea, o serviço Git autogerenciado usado por organizações que não querem depender do GitHub ou do GitLab para controle de versão. Ela foi divulgada publicamente em julho de 2026. O Red Heron iniciou a exploração ativa em 29 de julho, transformando uma prova de conceito pública no exp_enhanced.py, um framework automatizado em Python capaz de registrar contas, explorar servidores vulneráveis, roubar repositórios de código inteiros e remover seletivamente os rastros da invasão. A velocidade dessa conversão, apontam os pesquisadores, reflete o quanto se estreitou a janela entre a divulgação de uma vulnerabilidade e sua exploração em larga escala.

Um novo rootkit feito para se esconder à vista de todos

Uma vez dentro de um alvo, o Red Heron implantou duas ferramentas personalizadas que os pesquisadores nunca haviam catalogado antes. O SIXZUT é um rootkit para Linux que usa a técnica LD_PRELOAD para corrigir 15 funções diferentes próximas ao kernel do Linux, escondendo arquivos maliciosos, processos e conexões de rede das ferramentas de detecção padrão e dos administradores. O JITTERLY é um backdoor em C++ que suporta mais de 30 comandos de pós-exploração — execução de shell, transferência de arquivos, encerramento de processos, tunelamento de rede, acesso a terminal interativo e movimentação lateral dentro da rede interna. Em um ambiente taiwanês confirmado, a Acronis TRU rastreou a progressão do Red Heron desde um servidor Gitea inicialmente comprometido até o acesso administrativo com privilégios de root em todo um cluster de virtualização Proxmox de três nós.

Quem foi alvo, e por que isso importa

Os alvos confirmados e tentados abrangem os setores de defesa, infraestrutura eleitoral, energia, aeroespacial, telecomunicações, governo, segurança pública e pesquisa — um perfil de alvos que aponta para coleta de inteligência, e não para cibercrime com motivação financeira. Os pesquisadores atribuem a campanha a um agente ligado à China com confiança moderada, com base em artefatos em chinês simplificado nas ferramentas, uma metodologia de seleção e classificação de alvos voltada especificamente para Taiwan encontrada nos próprios dados operacionais do atacante, e um conjunto de alvos que coincide com prioridades conhecidas da inteligência chinesa.

O risco do software autogerenciado que isso expõe

O atrativo do Gitea está justamente em permitir que organizações operem infraestrutura Git sem depender do GitHub ou do GitLab — mas essa mesma independência autogerenciada significa que aplicar patches é responsabilidade exclusiva do operador, sem um ciclo de atualização forçado por um provedor SaaS. Organizações que rodam instâncias autogerenciadas do Gitea devem tratar a CVE-2026-60004 como algo ativamente e automaticamente explorado no mundo real, não como um risco teórico, e devem presumir que qualquer instância sem patch exposta à internet provavelmente já foi escaneada pelas ferramentas do Red Heron. Os repositórios comprometidos também representam um risco de cadeia de suprimentos por si só: o roubo de código-fonte de alvos nos setores de defesa, aeroespacial e energia pode originar ataques subsequentes contra clientes e parceiros a jusante.