Nuevo rootkit para Linux se ocultaba tras un ataque a Gitea

Un exploit público para Gitea en pocos días se convirtió en una herramienta industrial para el robo de código fuente. El grupo Red Heron automatizó la búsqueda de servidores vulnerables, el registro de cuentas, la ejecución remota de comandos, la extracción de repositorios y la eliminación de parte de las huellas, y tras la intrusión desplegó en sistemas Linux un conjunto de herramientas maliciosas ocultas.

El punto de entrada fue la crítica CVE-2026-60004 con una puntuación de 9,8 en CVSS. La vulnerabilidad afecta a Gitea desde la versión 1.17 hasta la 1.27.0 y permite, mediante la API diffpatch, instalar un hook de Git malicioso que se ejecuta con los permisos de la cuenta de sistema de Gitea. Formalmente, el atacante necesita acceso de escritura al repositorio; sin embargo, el registro abierto estándar permite crear una cuenta por cuenta propia y obtener los permisos necesarios. Una combinación similar de registro y ejecución remota de código ya convirtió servidores Git en un punto de entrada conveniente para atacantes externos.

Red Heron comenzó a perfeccionar el PoC publicado el 29 de julio, un día después de la divulgación de los detalles técnicos de la vulnerabilidad. El 30 de julio el operador escaneó 1386 servidores Gitea en siete países con 50 hilos paralelos, y luego obtuvo una base separada de 477 sistemas de Taiwán. De la muestra total, 128 servidores con registro abierto entraron en la lista prioritaria.

La siguiente versión de la herramienta exp_enhanced.py funcionó casi como una línea de montaje. El script cargaba la lista de objetivos, registraba automáticamente cuentas temporales, ejecutaba la explotación, copiaba repositorios directamente desde el sistema de archivos y eliminaba parte de los registros de su actividad de la base de Gitea. Este tipo de ataque es especialmente peligroso para la infraestructura de desarrollo, porque junto al código fuente en repositorios y configuraciones a menudo aparecen tokens, claves SSH y otros secretos.

En el servidor de una empresa de Taiwán dedicada a la automatización industrial, Red Heron descargó cientos de repositorios con componentes SCADA/HMI, integraciones de IoT, un analizador de red, configuraciones de servidor y aplicaciones internas. En una empresa canadiense del sector de energías renovables, los atacantes accedieron al sistema de recursos humanos, al CRM, al servicio de autenticación, a API internas, a tokens JWT y a claves SSH. En otro caso, la intrusión inicial en Gitea terminó con acceso root al clúster Proxmox de tres nodos y el inicio de copias de seguridad de máquinas virtuales.

La investigación condujo a los especialistas al implante para Linux JITTERLY, escrito en C++. El malware soporta más de 30 comandos, incluidos iniciar un shell, subir y descargar archivos, terminal interactivo, túneles SOCKS, reenvío de puertos y movimiento por la red interna. Dentro de JITTERLY se encontró un rootkit no descrito anteriormente, SIXZUT, que utiliza el mecanismo LD_PRELOAD y obliga a los procesos enlazados dinámicamente en Linux a cargar una biblioteca maliciosa.

SIXZUT intercepta 15 funciones de Linux y oculta archivos, procesos y conexiones de red. El rootkit filtra la información de /proc, interfiere en las respuestas Netlink, por lo que puede ocultar conexiones incluso frente a la utilidad ss, y la función kill interceptada no permite terminar el proceso protegido con un kill -9 normal. Si JITTERLY desaparece de la memoria, SIXZUT puede volver a iniciar el implante. Este modo de operación convierte al rootkit no solo en una herramienta de ocultación, sino en un mecanismo de autorreparación del malware.

Acronis vincula a Red Heron con un entorno de habla china con confianza moderada. En un servidor intermedio se encontraron bases de objetivos con categorías en chino simplificado, una clasificación separada de entidades de defensa, energía, procesos electorales, la industria aeroespacial y organizaciones estatales. Los especialistas aún no han establecido una conexión directa entre Red Heron y un grupo APT ya conocido.

Se recomienda a los administradores de Gitea actualizar, como mínimo, a la versión 1.27.1, desactivar el registro abierto donde no sea necesario, revisar las llamadas al API diffpatch y considerar los tokens y las claves SSH comprometidos como expuestos. Al detectar SIXZUT, los especialistas aconsejan reconstruir el servidor desde una imagen de confianza en lugar de intentar limpiar un sistema en funcionamiento. Es mejor comprobar /etc/ld.so.preload y otros signos de infección desde un entorno claramente limpio, ya que el rootkit puede ocultar sus propios archivos frente a las utilidades de usuario habituales.

El peligro de CVE-2026-60004 se hizo evidente incluso antes de la divulgación de la campaña Red Heron. A finales de agosto Shadowserver contó 8393 servidores vulnerables de Gitea accesibles desde Internet, y los atacantes ya habían usado la brecha para instalar mineros. El nuevo informe muestra que la misma entrada permite llegar mucho más allá de un único proceso comprometido.

Las herramientas ocultas para Linux cada vez se construyen más alrededor de técnicas conocidas y código abierto. En primavera, el análisis del rootkit OrBit mostró que el malware ocultó durante casi cuatro años procesos, archivos y conexiones y capturó contraseñas, aunque se basaba en el proyecto Medusa publicado en GitHub.