Im Zentrum der Kampagne steht CVE-2026-60004, eine kritische Schwachstelle in Gitea, die das Ausführen von Code aus der Ferne erlaubt. Nach der Offenlegung im Juli 2026 dauerte es laut Acronis nur wenige Tage, bis Red Heron öffentlich verfügbaren Proof-of-Concept-Code in ein automatisiertes Python-Framework überführte. Das Werkzeug mit dem Dateinamen “exp_enhanced.py” kam ab dem 29. Juli 2026 zum Einsatz.
“Innerhalb weniger Tage nach der Offenlegung der Schwachstelle im Juli 2026 verwandelte Red Heron öffentlichen Proof-of-Concept-Code in ein automatisiertes Framework, das Konten registrieren, verwundbare Server ausnutzen, Repositories stehlen und ausgewählte Spuren entfernen konnte”, erklärte der Sicherheitsforscher Subhajeet Singha. Die Kampagne zeige, wie schnell N-Day-Schwachstellen in selbstgehosteten Entwicklungsplattformen Quellcode, Zugangsdaten, Geheimnisse und angebundene Infrastruktur offenlegen können.
Bei den 1.386 gescannten Gitea-Instanzen in sieben Ländern blieb es nicht bei der Erkundung: In 13 Fällen kam es zu bestätigten Kompromittierungen. In einer taiwanischen Umgebung arbeitete sich der Angreifer von einem verwundbaren Gitea-Server bis zu administrativen Rechten auf Root-Ebene über einen Proxmox-Cluster mit drei Knoten vor.
Aufschluss über das Vorgehen lieferte die Untersuchung eines Staging-Servers, der dem Akteur zugeordnet wird. Dort fanden die Forscher ein in C++ geschriebenes Linux-Implantat namens JITTERLY, das mehr als 30 Befehle für die Phase nach der Erstkompromittierung unterstützt – darunter Shell-Ausführung, Dateitransfer, das Beenden von Prozessen, Netzwerk-Tunneling, interaktiver Terminalzugang und internes Weiterbewegen im Netz. JITTERLY war zuvor im Juli 2026 von einem Forscher beschrieben worden, der unter dem Alias “dmpdump” auftritt; er verwies auf Überschneidungen mit dem AdaptixC2-Agenten.
In der Hintertür steckt zudem ein bislang nicht dokumentiertes Rootkit auf LD_PRELOAD-Basis, das die Forscher SIXZUT nennen. Es patcht 15 verschiedene Linux-Funktionen, um Dateien, Prozesse und Netzwerkverbindungen zu verbergen, Spuren der Aktivität zu verwischen und die Erkennung sowie das Beenden der Schadsoftware zu verhindern. Wird die Malware dennoch beendet oder entfernt, startet sie sich erneut.
Die Zielauswahl beschreibt Acronis als Mischung aus Planung und Gelegenheit: “Durch die Kombination aus automatisierter Gitea-Ausnutzung und strukturierter Zielauswahl kam der Akteur vom Diebstahl von Repositories zum Sammeln von Zugangsdaten, zu dauerhaftem Zugang und zur seitlichen Bewegung in den Umgebungen der Opfer”, so Singha. Der Schwerpunkt auf Organisationen mit Bezug zu Wahlen, Verteidigung, Energie, Regierung und Forschung deute auf bewusst gesetzte Sammelprioritäten neben breiterem, opportunistischem Scannen hin.