В начале августа 2026 года обнаружен открытый сервер, с которого велась масштабная кампания против платформы Gitea - системы для хранения исходного кода, которую компании разворачивают на своих мощностях. Атакующие под псевдонимом Red Heron за несколько дней прошли путь от кражи репозиториев до полного контроля над инфраструктурой жертв. В одном случае они получили административный доступ к кластеру виртуализации Proxmox из трёх узлов. Подтверждённые потери понесли организации в Канаде, Аргентине, Тайване, США и Шри-Ланке.
Описание
События разворачивались вокруг критической уязвимости CVE-2026-60004, позволявшей выполнять произвольный код на серверах Gitea. Оценка опасности - 9,8 балла из 10 по шкале CVSS. Уязвимость затрагивала версии с 1.17 по 1.27.0. Исправление вышло 27 июля 2026 года. Уже на следующий день разработчики опубликовали подробное описание проблемы вместе с рабочим примером её использования.
Причина крылась в механизме применения патчей к репозиториям. При определённых условиях вредоносный патч записывал исполняемый файл в служебный каталог Git. Оттуда код запускался с правами сервисной учётной записи Gitea. Дополнительно ситуацию осложняло то, что свободная регистрация в Gitea включена по умолчанию. Любой человек со стороны мог создать учётную запись, завести репозиторий и добиться выполнения кода без предварительного доступа к системе.
По данным Acronis Threat Research Unit, цепочка атак привела к открытому серверу-заготовке, который оператор не защитил паролем. На нём хранились инструменты эксплуатации, базы данных разведки, история команд, украденные репозитории и вредоносные программы. Это дало редкую возможность восстановить всю схему работы группировки - от выбора целей до действий после проникновения.
Подготовка заняла считанные дни. Сразу после публикации примера Red Heron скачал его с открытой платформы и начал дорабатывать под свои задачи. Уже 30 июля группировка просканировала 1386 установок Gitea в семи странах. Проверки шли десятками параллельных потоков: атакующие выясняли, где открыта свободная регистрация. Отдельный список из 477 тайваньских систем они получили из внешнего источника. Все цели классифицировали на упрощённом китайском языке: оборона, выборы, энергетика, аэрокосмическая отрасль, телекоммуникации, госсектор, научные исследования. Каждая запись несла оценку достоверности и пометки о критической инфраструктуре.
К началу августа инструменты превратились в полностью автоматизированную систему. Она сама создавала учётные записи, эксплуатировала уязвимые серверы, выкачивала репозитории и удаляла часть следов. На одном из серверов жертвы появились дополнительные ключи для входа без пароля. Для взлома украденных паролей злоумышленники установили на своём сервере отдельный инструмент. В ходе одной из атак они прошли от уязвимого сервера Gitea до административного доступа к кластеру Proxmox из трёх узлов. Затем попытались запустить полное резервное копирование виртуальных машин, что дало бы не только исходный код, но и образы дисков целиком.
Сильнее всех пострадала канадская компания в сфере возобновляемой энергетики: зафиксировано 22 отдельные сессии. Атакующие изучили всю инфраструктуру, нашли учётную запись сотрудника и выкачали кадровую систему, систему работы с клиентами, службу аутентификации, внутреннюю сеть и бизнес-интерфейсы. Также были похищены токены доступа и ключи серверов. В общей сложности подтверждено 11 жертв в пяти странах. Среди них - аргентинская компания в сфере количественной торговли, тайваньские производители, IT-консультант из Шри-Ланки и американские муниципальные платформы. В список также попали системы, связанные с выборами и голосованием. Степень утечки по ним подтвердить не удалось.
При анализе специалисты нашли вредоносную программу JITTERLY для Linux. Она поддерживает более 30 команд: запуск оболочки, передачу файлов, сетевые туннели, удалённый терминал. Внутри неё спрятан ранее неизвестный руткит SIXZUT - модуль, который умеет скрывать файлы, процессы и сетевые соединения. Он также не даёт завершить работу вредоносной программы. Если её остановить, руткит запускает её заново при следующем запуске любой программы в системе. Удалить заражение на работающем сервере почти невозможно.
Аналитики связывают кампанию с китайскоязычными операторами, действующими в интересах КНР. Основание - рабочие материалы полностью на упрощённом китайском, классификация Тайваня как части Китая, характерный набор целей и признаки того, что часть задач поступала извне. Прямых связей с ранее известными группами выявить не удалось. Часть данных указывает на участие нескольких человек.
Рекомендации здесь довольно конкретные. Обновите Gitea до версии 1.27.1 или более новой. Отключите свободную регистрацию, если она не нужна. Не выставляйте сервер кода напрямую в интернет без дополнительной защиты. Проверьте учётные записи и репозитории, созданные после публикации предупреждения об уязвимости. Обратите внимание на необычные обращения к служебным разделам платформы и на любые изменения системного файла, управляющего предзагрузкой библиотек. Наконец, все данные для входа, токены и ключи, хранившиеся в заражённой системе, считайте раскрытыми и замените. При подтверждённом заражении надёжнее переустановить систему, чем пытаться вычистить её.
Индикаторы компрометации
