🔍 Contexte

L’Acronis Threat Research Unit (TRU) a publié le 13 septembre 2026 une analyse détaillée d’une campagne multinationale menée par un acteur malveillant sinophone qu’ils suivent sous le nom Red Heron. La découverte initiale remonte au 4 août 2026, lorsque TRU a identifié un implant Linux et l’a retracé jusqu’à un serveur de staging exposé de l’acteur.

🎯 Vecteur d’attaque initial

Red Heron a weaponisé CVE-2026-60004, une vulnérabilité critique d’exécution de code à distance (RCE) dans Gitea (score CVSS v3.1 : 9.8), affectant les versions 1.17 à 1.27.0. La faille réside dans l’endpoint diffpatch et permet à un attaquant de placer un hook Git malveillant via une double soumission de patch. Sur les instances avec inscription ouverte (configuration par défaut), l’exploitation ne nécessite aucun compte préexistant. Le patch a été publié dans la version 1.27.1 le 27 juillet 2026, et Red Heron a commencé à exploiter la faille dès le 29 juillet, soit deux jours après la publication du PoC.

🌐 Portée de la campagne

  • 1 386 instances Gitea scannées dans 7 pays
  • 477 systèmes taïwanais dans une liste cible séparée (tw_assets.json)
  • Compromissions confirmées au Canada, Argentine, Taïwan, États-Unis et Sri Lanka
  • Secteurs ciblés (classification en chinois simplifié) : défense/militaire, élections/systèmes de vote, énergie, aérospatiale, télécommunications, gouvernement, recherche
  • Une campagne parallèle ciblant 18 sites Joomla dans 10 pays a également été identifiée

🛠️ Outillage et tradecraft

L’acteur a développé exp_enhanced.py, un framework automatisé capable d’ingérer une liste JSON de cibles, d’auto-enregistrer des comptes (pattern <mot>_<mot>_<3chiffres>), d’exploiter les serveurs, d’exfiltrer les dépôts et d’effacer ses traces. Des outils supplémentaires incluent :

  • FOFA pour la reconnaissance
  • Hashcat pour le craquage des hachages bcrypt Gitea
  • Backdoor TCP brut sur les ports 48931/48932
  • Backdoor via l’endpoint /api/v1/metrics de l’API Gitea

💀 Implant JITTERLY

JITTERLY est un implant ELF C++ supportant plus de 30 commandes post-exploitation :

  • Exécution de shell, transfert de fichiers, tunneling réseau (SOCKS/TCP), terminal PTY interactif, pivoting interne
  • Communication C2 via TCP brut avec sérialisation msgpack + chiffrement AES-128-GCM
  • Compatible avec le framework Adaptix C2 (protocole Gopher)
  • Se déguise sous le nom de processus configd, s’installe dans /usr/lib/<nom>/<nom>
  • Contient un rootkit embarqué chiffré en AES-128-CTR

🦠 Rootkit SIXZUT

SIXZUT est un rootkit LD_PRELOAD inédit (49 Ko, bibliothèque ELF partagée) embarqué dans JITTERLY :

  • Se dépose sous le nom libglthread.so.2 (imite une bibliothèque OpenGL légitime)
  • Hooking de 15 fonctions libc : getdents, open, stat, read, socket, recvmsg, kill, etc.
  • Masque fichiers, processus et connexions réseau (via /proc/net/tcp, ss via AF_NETLINK)
  • Protège JITTERLY contre la terminaison (hook kill() retourne ESRCH)
  • Se relance automatiquement si l’implant est arrêté
  • Fichier de verrouillage : /tmp/.X11-unix.lk
  • En-tête de configuration magique : ADLGTBL1

🏭 Cibles confirmées et impact

Cible Sessions Pays Secteur
Entreprise énergie renouvelable 22 Canada Énergie
Instance Gitea électorale 14 US Élections
Entreprise automation industrielle (Synology NAS) 2 Taïwan —
Firme de trading quantitatif 2 Argentine Finance
Plateforme municipale 2 US Gouvernement
Consultance IT 1 Sri Lanka —

L’entreprise canadienne d’énergie renouvelable a subi la compromission la plus profonde : vol de code source, extraction de secrets (JWT, SSH, tokens), plantation de 3 clés SSH backdoor, reverse shell, et cartographie complète de l’infrastructure Docker.

En Taïwan, Red Heron a progressé d’un Gitea sur NAS Synology jusqu’à l’accès root sur un cluster Proxmox à 3 nœuds (tapve01, tapve02, tapve03), avec déclenchement de sauvegardes VM complètes via vzdump.

🔗 Attribution

Acronis TRU attribue avec confiance modérée cette campagne à un acteur sinophone dans un contexte lié à la RPC, basé sur : artefacts en chinois simplifié, taxonomie de ciblage PRC-style, classification de Taïwan comme territoire chinois (country: “CN”), et indicateurs de structure d’équipe (liste externe tw_assets.json, script exec.sh miroir).

📄 Nature de l’article

Il s’agit d’une publication de recherche technique approfondie produite par Acronis TRU, visant à documenter une campagne active, exposer les TTPs de Red Heron, et fournir des indicateurs de compromission exploitables pour la communauté CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Red Heron (state-sponsored) —

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1588.006 — Obtain Capabilities: Vulnerabilities (Resource Development)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1543.002 — Create or Modify System Process: Systemd Service (Persistence)
  • T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
  • T1574.006 — Hijack Execution Flow: LD_PRELOAD (Persistence)
  • T1014 — Rootkit (Defense Evasion)
  • T1070 — Indicator Removal (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1110.002 — Brute Force: Password Cracking (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1046 — Network Service Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1049 — System Network Connections Discovery (Discovery)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1090.001 — Proxy: Internal Proxy (Command and Control)
  • T1095 — Non-Application Layer Protocol (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1213 — Data from Information Repositories (Collection)
  • T1592 — Gather Victim Host Information (Reconnaissance)
  • T1596 — Search Open Technical Databases (Reconnaissance)
  • T1136.001 — Create Account: Local Account (Persistence)

IOC

  • IPv4 : 72.11.138.109 — AbuseIPDB · VT · ThreatFox
  • Domaines : s2.981666.xyz — VT · URLhaus · ThreatFox
  • Domaines : 981666.xyz — VT · URLhaus · ThreatFox
  • Domaines : xcyoibfhuufz.com — VT · URLhaus · ThreatFox
  • SHA256 : B441F793C87E54CB7E3F7205E25442AA19920D325CB6AF41D2AFDC8A0B5CF54F — VT · MalwareBazaar
  • SHA256 : 28B132AD55BD310BB5CF3DDB4ACE580529AD735204A48CF388830D9039843D8E — VT · MalwareBazaar
  • CVEs : CVE-2026-60004 — NVD · CIRCL
  • Fichiers : libglthread.so.2
  • Fichiers : agent.elf
  • Fichiers : rootkit.so
  • Fichiers : exp_enhanced.py
  • Fichiers : master_scanned.json
  • Fichiers : tw_assets.json
  • Fichiers : open_sites.json
  • Fichiers : exec.sh
  • Chemins : /tmp/.X11-unix.lk
  • Chemins : /etc/ld.so.preload
  • Chemins : /usr/lib/configd/configd
  • Chemins : .ld_aux_cahe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 17 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • JITTERLY (rat)
  • SIXZUT (other)
  • Adaptix C2 (framework)
  • Hashcat (tool)
  • FOFA (tool)

🟢 Indice de vérification factuelle : 100/100 (haute)

  • ✅ acronis.com — source reconnue (Rösti community) (20pts)
  • ✅ 51990 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 19 IOCs dont des hashes (15pts)
  • ✅ 4/6 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 24 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Red Heron (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 72.11.138.109 (ip) → VT (8/89 détections)
  • s2.981666.xyz (domain) → VT (4/89 détections)
  • 981666.xyz (domain) → VT (8/89 détections)
  • xcyoibfhuufz.com (domain) → VT (6/89 détections)

🔗 Source originale : https://www.acronis.com/en/tru/posts/red-heron-exploits-gitea-n-day-flaw-in-multinational-campaign-exposing-new-linux-rootkit/