عامل تهدید شناخته شده با نام Red Heron از یک آسیب‌پذیری بحرانی Remote Code Execution (RCE) در نرم‌افزار Gitea با شناسه CVE-2026-60004 برای سرقت مخازن کد منبع (Source-code Repositories)، ایجاد دسترسی پایدار و استقرار ابزارهای مخرب در محیط لینوکس استفاده کرده است. این ابزارها شامل Implant مدل JITTERLY و Rootkit مدل SIXZUT هستند که از مکانیزم LD_PRELOAD برای پنهان‌سازی بهره می‌برند.
جزئیات عملیات و اهداف
بر اساس گزارش‌ها، این مهاجم به‌سرعت از این نقص امنیتی علیه محیط‌های Gitea که در معرض اینترنت بودند، استفاده کرد تا دسترسی اولیه خود را به سرقت مخازن کد، جمع‌آوری اعتبارنامه‌ها (Credentials)، جابجایی جانبی (Lateral Movement) و تثبیت حضور بلندمدت تبدیل کند. این کمپین به‌طور خاص سرورهای Gitea خود-میزبان (Self-hosted) را هدف قرار داده است، از جمله زیرساخت‌های مربوط به یک سازمان اتوماسیون صنعتی که منجر به سرقت صدها مخزن کد، به‌ویژه کدهای مربوط به SCADA و HMI شده است.
تحلیل ابزارهای مخرب: JITTERLY و SIXZUT
در مرکز این مجموعه تهاجمی، JITTERLY قرار دارد؛ یک Backdoor توسعه‌یافته با زبان ++C برای لینوکس که بیش از ۳۰ قابلیت پس از نفوذ را پشتیبانی می‌کند. این بدافزار امکاناتی نظیر اجرای Shell، عملیات روی فایل‌ها، تونلینگ (Tunneling)، دسترسی به ترمینال تعاملی و کنترل پروسه‌ها را فراهم می‌کند تا مهاجم بتواند از سیستم‌های آلوده برای شناسایی (Reconnaissance) و به عنوان نقاط رله (Relay Points) در شبکه داخلی استفاده کند.
برای پنهان کردن فعالیت‌ها، JITTERLY با SIXZUT ترکیب شده است. SIXZUT یک Rootkit است که با استفاده از LD_PRELOAD، فایل‌ها، دایرکتوری‌ها، پروسه‌ها و اتصالات شبکه را از دید مدیران سیستم و ابزارهای امنیتی مخفی می‌کند. همچنین این Rootkit می‌تواند تلاش‌ها برای متوقف کردن پروسه‌های محافظت‌شده را از طریق رهگیری فراخوانی‌های kill() مسدود کرده و در صورت حذف شدن Payloadهای پیکربندی شده، آن‌ها را مجدداً اجرا کند.
ارتباطات زیرساختی و تحلیل فنی
تحلیل‌های تکمیلی نشان می‌دهد که این Rootkit از دو عامل مخفی به نام‌های __hesti و __root استفاده می‌کند که در مسیرهای /usr/lib/__hesti/__hesti و /usr/lib/__root/__root نصب شده‌اند. این عوامل به دامنه‌هایی نظیر 981666[.]xyz متصل می‌شوند. شباهت‌های ابزاری در این حملات با نفوذهای پیشین به پلتفرم HestiaCP مشاهده شده است، هرچند انتساب قطعی این موارد به Red Heron همچنان در حال بررسی است.
توصیه‌های امنیتی برای مدیران SOC و مهندسان امنیت
- به‌روزرسانی فوری: تمامی نسخه‌های Gitea را سریعاً به‌روزرسانی و Patch کنید.
- بررسی پیکربندی لینوکس: فایل
/etc/ld.so.preloadرا برای شناسایی هرگونه تغییر غیرمجاز بررسی کنید. - شکار تهدید (Threat Hunting): کتابخانه‌های غیرمعمول در مسیرهای
/libو/usr/libو همچنین پروسه‌های مخفی__hestiو__rootرا رصد کنید. - مدیریت اعتبارنامه‌ها: تمامی Credentialهایی که احتمال می‌دهید در معرض سرقت قرار گرفته‌اند را تغییر دهید (Rotate).
- بازسازی سیستم: در صورت تایید نفوذ، به جای حذف دستی فایل‌ها، سیستم‌های آلوده را به‌طور کامل بازسازی (Rebuild) کنید.
