Red Heron : APT chinois exploite Gitea et installe SIXZUT

Red Heron exploite Gitea en 48 heures : 11 organisations compromises, un rootkit Linux inédit déployé

Gitea est une plateforme de forge logicielle open source auto-hébergée, fonctionnellement proche de GitHub et GitLab, très utilisée dans les environnements industriels, gouvernementaux et par les entreprises qui préfèrent conserver leur code source sur des infrastructures internes. Le 27 juillet 2026, l'équipe Gitea a publié le correctif pour CVE-2026-60004, une vulnérabilité de type injection de template côté serveur (SSTI) affectant toutes les versions de Gitea de 1.17 à 1.27.0, avec un score CVSS de 9,8. Deux jours plus tard, le 29 juillet, un groupe jusqu'alors inconnu clonait sur GitHub une preuve de concept publique de l'exploit et lançait ses premières attaques.

C'est Acronis, l'éditeur de solutions de sauvegarde et de cybersécurité, qui a reconstitué la chaîne complète de l'attaque dans un rapport publié fin octobre 2026. Le groupe, que les chercheurs baptisent Red Heron en l'absence d'une association confirmée avec un cluster APT connu, a procédé avec méthode et rapidité. En exploitant CVE-2026-60004, les attaquants parvenaient à exécuter du code arbitraire sur le serveur Gitea sans s'authentifier préalablement, ce qui leur permettait de créer des comptes administrateurs fantômes, d'exfiltrer des dépôts de code source entiers et de supprimer certaines traces de leur passage dans les journaux de l'application.

Les chercheurs d'Acronis ont identifié 11 organisations victimes confirmées réparties dans cinq pays : le Canada, les États-Unis, Taïwan, l'Argentine et le Sri Lanka. Le ciblage sectoriel est révélateur : parmi les victimes figurent des sous-traitants industriels dans les secteurs de l'aérospatiale et de l'énergie, des institutions gouvernementales régionales et des entreprises de développement logiciel. À Taïwan, l'intrusion a dépassé le serveur Gitea lui-même : Red Heron a pivoté vers l'infrastructure de virtualisation Proxmox sous-jacente, obtenu un ticket d'authentification root Proxmox et déclenché des sauvegardes de machines virtuelles, une manœuvre qui suggère une intention d'exfiltrer des images complètes de systèmes.

L'ampleur du scanning est aussi notable. Acronis a détecté que Red Heron avait sondé 1 386 instances Gitea accessibles depuis Internet dans sept pays différents entre le 30 juillet et le début du mois d'août, soit une opération de reconnaissance à grande échelle visant à constituer une cartographie des cibles vulnérables. La vitesse d'exploitation, deux jours après la publication du PoC, est caractéristique des acteurs étatiques ou para-étatiques qui maintiennent une veille permanente sur les nouveaux exploits publiés et disposent d'une infrastructure d'attaque pré-déployée.

Sur le plan technique, le vecteur d'accès initial conduit à l'installation de l'implant JITTERLY sur les serveurs compromis. JITTERLY est un outil d'accès à distance (RAT) développé spécifiquement pour Linux, capable de se maintenir au redémarrage, de chiffrer ses communications et d'exécuter des commandes en provenance d'un serveur de command and control (C2). À l'intérieur de JITTERLY, les chercheurs ont découvert SIXZUT : un rootkit Linux inédit, opérant au niveau du noyau, capable de masquer des processus, des fichiers et des connexions réseau aux outils d'inspection système standard tels que ps, ls et netstat. SIXZUT n'avait jamais été documenté publiquement avant ce rapport d'Acronis.

L'attribution à un acteur lié à la République populaire de Chine repose sur plusieurs indices techniques et comportementaux. Les horaires d'activité des opérateurs correspondent aux fuseaux horaires de la Chine continentale, le code de JITTERLY partage des fragments avec des outils documentés dans des campagnes antérieures liées à des acteurs PRC, et le ciblage de Taïwan dans les secteurs aérospatial et industriel correspond aux priorités de renseignement attribuées à plusieurs APT chinois connus. Acronis précise toutefois qu'il n'établit pas de lien direct avec un cluster APT spécifique à ce stade, et qualifie son attribution de modérée.

La Cloud Security Alliance a publié de son côté une note de recherche indépendante qui élargit le scope : selon la CSA, Red Heron aurait compromis au total 13 organisations, un chiffre légèrement supérieur aux 11 d'Acronis, ce qui suggère que des victimes supplémentaires ont été identifiées depuis la publication initiale du rapport. Le nombre réel de compromissions est probablement plus élevé, les organisations touchées ne divulguant pas systématiquement les incidents impliquant le vol de code source. La CISA n'a pas encore publié d'advisory spécifique à Red Heron à la date de publication de cet article, mais une guidance formelle est attendue dans les prochaines semaines.

Du côté défensif, la réponse recommandée est immédiate : migrer vers Gitea 1.27.1 ou supérieur, auditer les logs d'accès des dernières semaines pour détecter des comptes créés sans autorisation, vérifier l'intégrité des dépôts et des sauvegardes, et passer en revue les logs Proxmox si Gitea est hébergé dans un environnement virtualisé. Les organisations qui n'ont pas de visibilité directe sur leur instance Gitea, notamment celles qui délèguent l'hébergement à des tiers, doivent contacter leur prestataire pour demander une vérification de conformité urgente.

Pourquoi l'exploitation éclair de Gitea illustre un risque systémique pour le code source d'entreprise

CVE-2026-60004 dans Gitea n'est pas une vulnérabilité ordinaire : il s'agit d'un accès direct au coffre-fort numérique de l'entreprise. Le code source contient des secrets (clés API en dur, tokens, certificats mal stockés), des architectures de systèmes internes, des mécanismes d'authentification propriétaires et, pour les industriels, des plans de systèmes de contrôle. Un adversaire qui exfiltre les dépôts d'une organisation dispose d'un avantage stratégique durable : il comprend la surface d'attaque mieux que n'importe quel scanner automatisé, peut construire des exploits sur mesure et peut identifier des vulnérabilités dans les systèmes de production avant même qu'elles soient connues du défenseur.

La rapidité d'exploitation de Red Heron, 48 heures après le PoC public, est devenue la norme pour les acteurs avancés. Le délai médian entre la publication d'un PoC et la première exploitation observée est passé de 15 jours en 2020 à moins de 5 jours en 2026, selon les données Mandiant. Pour les équipes SOC et vulnerability management, cela signifie que le modèle traditionnel de patch dans les 30 jours est caduc pour les failles critiques CVSS 9+. Les solutions de type CAASM (Cyber Asset Attack Surface Management) et les scanners de vulnérabilités avec détection des PoC publics (Tenable, Qualys, Rapid7) permettent de réduire ce délai en automatisant la priorisation.

Le rootkit SIXZUT mérite une attention particulière des équipes de réponse à incident. Sa capacité à masquer des processus et des connexions réseau au niveau kernel signifie que les outils de monitoring standard ne permettent pas de détecter sa présence. La détection nécessite des approches plus profondes : analyse de l'intégrité du kernel (eBPF, auditd), comparaison des processus vus par le kernel avec ceux exposés aux outils userland, ou démarrage depuis un support externe pour analyser le disque à froid. Les règles YARA publiées par Acronis permettent de détecter les variantes connues de SIXZUT dans des dumps mémoire.

Sur le plan géopolitique, le ciblage de Taïwan par un acteur PRC-linked n'est pas une surprise, mais l'extension aux États-Unis, au Canada, à l'Argentine et au Sri Lanka montre une ambition plus large. La combinaison vol de code source et sauvegardes de VMs entières suggère une opération de pré-positionnement : collecter suffisamment d'informations sur les cibles pour pouvoir lancer des attaques plus ciblées ultérieurement, ou constituer un dossier de renseignement sur des capacités technologiques stratégiques dans des secteurs jugés prioritaires par Pékin.

Ce qu'il faut retenir

• Migrer immédiatement vers Gitea 1.27.1 ; auditer les logs pour détecter des comptes créés sans autorisation depuis fin juillet 2026.
• Le rootkit SIXZUT opère au niveau kernel et échappe aux outils de monitoring standard — sa détection nécessite des techniques d'analyse bas niveau (eBPF, auditd, forensique hors ligne).
• Red Heron a exploité la faille 48 heures après la publication du PoC : les délais de patch classiques ne protègent plus contre les acteurs étatiques avancés.