Red Heron explota un RCE crítico en Gitea para comprometer 13 organizaciones
El grupo escaneó 1.386 instancias de Gitea en siete países y acabó dentro de trece organizaciones repartidas por seis países, con acceso root a un clúster Proxmox
Un actor de amenaza sospechoso de operar desde China, bautizado como Red Heron, ha aprovechado un fallo crítico de ejecución remota de código en Gitea para entrar en servidores expuestos a internet. El análisis de Acronis cifra en trece las organizaciones comprometidas, repartidas entre Canadá (2), Argentina (1), Taiwán (4), Estados Unidos (4), Qatar (1) y Sri Lanka (1). Para encontrar a esas víctimas, el grupo escaneó 1.386 instancias de Gitea en siete países y mantuvo aparte un conjunto de datos con 477 sistemas ubicados en Taiwán.
Lo que ha pasado aquí es un N-day bien ejecutado. CVE-2026-60004 se divulgó en julio de 2026 y, en cuestión de días, Red Heron ya había convertido el código de prueba de concepto público en un framework propio en Python, exp_enhanced.py, que arranca el 29 de julio de 2026. Ese framework registra cuentas, explota los servidores vulnerables, se lleva los repositorios y borra parte de los rastros. El exploit de partida está en el repositorio HORKimhab/CVE-2026-60004.
Antes de eso, el mismo actor usó la misma infraestructura contra 18 sitios Joomla en diez países con un script llamado exp.py. Entre esos objetivos había una consultora educativa india y un proveedor estadounidense de servicios gestionados de TI.
Del robo de código al root
El implante que deja atrás el grupo es JITTERLY, un binario C++ para Linux con más de 30 comandos de post-explotación: ejecución de shell, transferencia de archivos, terminación de procesos, túneles de red, terminal interactiva y pivoting interno. Un investigador conocido como dmpdump ya lo había documentado en julio de 2026 y señaló sus solapamientos con el agente de AdaptixC2.
Dentro lleva SIXZUT, un rootkit LD_PRELOAD que no se había descrito antes. Parchea 15 funciones distintas de Linux para esconder archivos, procesos y conexiones, y se relanza si alguien lo mata o lo borra. Ese detalle es el que convierte una intrusión en una presencia difícil de limpiar: si el administrador no sabe que está ahí, cada reinicio le devuelve el acceso.
En un entorno taiwanés el atacante pasó de un Gitea vulnerable a privilegios de root en un clúster Proxmox de tres nodos. En Argentina la actividad se quedó en enumeración extensa de una firma de trading cuantitativo. En Taiwán salieron cientos de repositorios de una empresa de automatización industrial: herramientas SCADA/HMI, integraciones de plataformas IoT, un sniffer de red, configuraciones de servidores y aplicaciones internas. De un objetivo en Qatar se llevaron una plataforma de gestión del aprendizaje, un chatbot, herramientas de automatización de flujos y plugins de WordPress. Y de una renovable canadiense, repositorios, secretos de configuración, tokens internos y claves SSH de host.
Selección de objetivos
Acronis clasifica a los blancos con etiquetas en chino simplificado y los reparte entre defensa, electoral, energía, aeroespacial, telecomunicaciones, gobierno, seguridad pública e investigación. La compañía sitúa a Red Heron en un contexto vinculado a China con confianza moderada, apoyándose en el uso de chino simplificado, en que el grupo clasifica Taiwán como parte de China y en un patrón de objetivos que encaja con prioridades de recolección de inteligencia.
La lección para quien administra infraestructura no está en el actor, sino en la superficie atacada. Gitea, GitLab y similares autoalojados concentran código fuente, credenciales, secretos y, muy a menudo, la llave hacia el resto de la red interna. Un RCE en cualquiera de ellos no es un incidente de repositorio: es un punto de entrada con acceso a todo lo que ese servidor puede alcanzar. La campaña arrancó con un PoC público, así que la ventana entre el parche y la explotación se mide en días.
