一名被追踪为红鹭的疑似中国威胁行为者被认为迅速利用最近披露的Gitea安全漏洞，攻击面向互联网的实例，作为一项跨国活动的一部分。
“Acronis威胁研究单位（TRU）在分析中表示，红鹭扫描了七个国家的1,386个Gitea实例，并维护了一个包含477个台湾系统的独立数据集。” “该活动从源代码盗窃进展到持久访问、凭证收集和横向移动，包括对三节点Proxmox集群的根级访问。”
据称，该活动导致确认的妥协影响了加拿大（2个）、阿根廷（1个）、台湾（4个）、美国（4个）、卡塔尔（1个）和斯里兰卡（1个）等组织，威胁行为者使用简体中文标签对目标进行分类，涵盖国防、选举、能源、航空航天、电信、政府、公共安全和研究等行业。
新加坡网络安全公司评估红鹭在与中国相关的背景下运作，具有中等信心，原因在于简体中文的存在、该集群将台湾持续归类为中国的一部分，以及其目标足迹与中国的情报收集优先事项一致。
对归因于该对手的一个暂存服务器的分析发现了一个名为JITTERLY的C++ Linux植入程序，支持超过30个与shell执行、文件传输、进程终止、网络隧道、交互式终端访问和内部转移相关的后期利用命令。JITTERLY在2026年7月被一位在线别名为“dmpdump”的研究人员记录，描述其与AdaptixC2代理有重叠。
在后门中存在一个先前未记录的LD_PRELOAD rootkit，名为SIXZUT，能够通过修补15个不同的Linux函数来隐藏文件、进程和网络连接，以掩盖恶意活动的痕迹并防止恶意软件被检测和终止，同时在被终止或移除后重新启动。
红鹭已被观察到利用CVE-2026-60004，一个关键的Gitea远程代码执行漏洞，扫描七个国家的数千个实例，从2026年7月29日起，将该漏洞的公开可用利用转变为一个完整的自动化Python框架（“exp_enhanced.py”）。
“在漏洞于2026年7月披露后的几天内，红鹭将公共概念验证代码转变为一个能够注册账户、利用易受攻击的服务器、窃取代码库和删除选定痕迹的自动化框架，”安全研究员Subhajeet Singha表示。“该活动展示了自托管开发平台中的N天漏洞如何迅速暴露源代码、凭证、秘密和连接基础设施。”
在一个台湾环境中，观察到该威胁行为者从一个易受攻击的Gitea服务器进展到对三节点Proxmox集群的根级管理访问。对暂存服务器的进一步检查揭示了攻击者的交易技巧——
使用相同的基础设施针对10个国家的18个基于Joomla的网站，使用Python脚本（“exp.py”），然后克隆CVE-2026-60004漏洞。在这些目标中，有一家总部位于印度的海外教育咨询公司和一家美国的IT托管服务提供商。
对一家阿根廷量化交易公司的广泛枚举。
从一家台湾工业自动化公司中提取数据，包括与SCADA/HMI工具、物联网平台集成、网络嗅探器、服务器配置、监控和监视产品以及内部业务应用程序相关的数百个代码库。
从一家位于卡塔尔的目标中提取数据，包括学习管理平台、人工智能（AI）聊天机器人、工作流自动化工具和WordPress插件。
对一家加拿大可再生能源公司的基础设施进行广泛映射，提取代码库、配置秘密、内部令牌、SSH主机密钥和内部应用程序。
“通过将自动化的Gitea利用与结构化目标选择相结合，该行为者从代码库盗窃进展到凭证收集、持久访问和在受害者环境中的横向移动，”Singha表示。“其对与选举、国防、能源、政府和研究相关的组织的关注表明了有意的收集优先事项，以及更广泛的机会扫描。”
觉得这篇文章有趣吗？请在Google新闻、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。