สรุปสั้น
กลุ่มผู้ต้องสงสัยว่าเชื่อมโยงกับจีนที่ถูกติดตามในชื่อ Red Heron ถูกระบุว่าเป็นผู้อยู่เบื้องหลังการนำช่องโหว่ที่เพิ่งถูกเปิดเผยใน Gitea มาใช้โจมตีอย่างรวดเร็ว เพื่อเจาะ instance ที่เปิดสู่อินเทอร์เน็ตเป็นส่วนหนึ่งของแคมเปญข้ามหลายประเทศ บริษัท Acronis Threat Research Unit (TRU) ระบุว่า Red Heron สแกน Gitea จำนวน 1,386 เครื่องใน 7 ประเทศ และยังเก็บชุดข้อมูลระบบในไต้หวันแยกต่างหากอีก 477 เครื่อง กิจกรรมลุกลามจากการขโมยซอร์สโค้ดไปสู่การฝังตัวถาวร การเก็บ credential และการเคลื่อนตัวด้านข้าง รวมถึงการเข้าถึงระดับ root บนคลัสเตอร์ Proxmox แบบ 3 โหนด
การโจมตีนี้ส่งผลให้เกิดการเจาะที่ได้รับการยืนยันในองค์กรที่แคนาดา 2 แห่ง อาร์เจนตินา 1 แห่ง ไต้หวัน 4 แห่ง สหรัฐฯ 4 แห่ง กาตาร์ 1 แห่ง และศรีลังกา 1 แห่ง โดยผู้โจมตีใช้ป้ายกำกับภาษาจีนตัวย่อจัดหมวดหมู่เป้าหมายที่ครอบคลุมภาคกลาโหม การเลือกตั้ง พลังงาน การบินและอวกาศ โทรคมนาคม หน่วยงานรัฐ ความปลอดภัยสาธารณะ และงานวิจัย นักวิจัยยังพบแบ็กดอร์ Linux ที่เขียนด้วยภาษา C++ ชื่อ JITTERLY และ rootkit ที่ไม่เคยถูกบันทึกมาก่อนชื่อ SIXZUT ซึ่งซ่อนไฟล์ โปรเซส และการเชื่อมต่อเครือข่ายได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 กันยายน 2569 โดยอ้างการวิเคราะห์ของบริษัท Acronis Threat Research Unit ว่า บริษัทด้านความปลอดภัยสัญชาติสิงคโปร์รายนี้ประเมินด้วยความมั่นใจระดับปานกลางว่า Red Heron ปฏิบัติการภายใต้บริบทที่เชื่อมโยงกับจีน จากการพบภาษาจีนตัวย่อ การที่กลุ่มจัดให้ไต้หวันเป็นส่วนหนึ่งของจีนอย่างสม่ำเสมอ และรอยเท้าการเลือกเป้าที่สอดคล้องกับลำดับความสำคัญด้านการเก็บข่าวกรองของจีน
Red Heron ถูกพบว่านำ CVE-2026-60004 ซึ่งเป็นช่องโหว่รันโค้ดทางไกล (RCE) ระดับวิกฤตใน Gitea มาใช้เป็นอาวุธ เพื่อสแกน instance หลายพันเครื่องใน 7 ประเทศ โดยแปลง exploit ที่เผยแพร่ต่อสาธารณะให้กลายเป็นเฟรมเวิร์กอัตโนมัติเต็มรูปแบบด้วยภาษา Python (“exp_enhanced.py”) ตั้งแต่วันที่ 29 กรกฎาคม 2569 นักวิจัยด้านความปลอดภัย นาย Subhajeet Singha ระบุว่าภายในไม่กี่วันหลังช่องโหว่ถูกเปิดเผยเมื่อเดือนกรกฎาคม 2569 Red Heron ก็เปลี่ยนโค้ด proof-of-concept สาธารณะให้เป็นเฟรมเวิร์กอัตโนมัติที่สามารถลงทะเบียนบัญชี โจมตีเซิร์ฟเวอร์ที่มีช่องโหว่ ขโมย repository และลบร่องรอยที่เลือกไว้ได้ เขายังบอกกับ The Hacker News ว่าไม่มีหลักฐานบ่งชี้ว่ามีการใช้ปัญญาประดิษฐ์ (AI) ในการพัฒนาเฟรมเวิร์กนี้ โดยผู้ปฏิบัติการดูเหมือนจะดัดแปลงโค้ด proof-of-concept ที่มีอยู่แล้วและเครื่องมือโอเพนซอร์สอื่น ๆ เท่านั้น
วิธีการโจมตี
จากการวิเคราะห์เซิร์ฟเวอร์จัดเตรียม (staging server) ที่เชื่อมโยงกับผู้โจมตี นักวิจัยพบ implant สำหรับ Linux ที่เขียนด้วยภาษา C++ ชื่อ JITTERLY ซึ่งรองรับคำสั่งหลังการเจาะระบบมากกว่า 30 คำสั่ง ทั้งการรัน shell การถ่ายโอนไฟล์ การหยุดโปรเซส การทำ network tunneling การเข้าถึงเทอร์มินัลแบบโต้ตอบ และการ pivot เข้าสู่ระบบภายใน โดย JITTERLY เคยถูกบันทึกไว้ก่อนหน้าโดยนักวิจัยที่ใช้นามแฝงว่า “dmpdump” เมื่อเดือนกรกฎาคม 2569 ซึ่งอธิบายว่ามันมีความทับซ้อนกับเอเจนต์ AdaptixC2
ภายในแบ็กดอร์ยังมี rootkit แบบ LD_PRELOAD ที่ไม่เคยถูกบันทึกมาก่อนชื่อ SIXZUT ซึ่งสามารถซ่อนไฟล์ โปรเซส และการเชื่อมต่อเครือข่าย ด้วยการแพตช์ฟังก์ชันของ Linux ถึง 15 ฟังก์ชันเพื่อกลบร่องรอยกิจกรรมมุ่งร้าย ป้องกันไม่ให้มัลแวร์ถูกตรวจพบและถูกสั่งหยุด อีกทั้งยังเรียกตัวเองกลับมาทำงานใหม่หากถูกยุติหรือถูกลบ ในสภาพแวดล้อมของไต้หวันแห่งหนึ่ง ผู้โจมตีถูกพบว่าไต่จากเซิร์ฟเวอร์ Gitea ที่มีช่องโหว่ไปสู่สิทธิ์ผู้ดูแลระดับ root บนคลัสเตอร์ Proxmox แบบ 3 โหนด
การตรวจสอบเซิร์ฟเวอร์จัดเตรียมเพิ่มเติมยังเผยให้เห็นวิธีการทำงานของผู้โจมตีมากขึ้น โดยพบว่าใช้โครงสร้างพื้นฐานเดียวกันเล็งเว็บไซต์ที่ใช้ Joomla จำนวน 18 แห่งใน 10 ประเทศผ่านสคริปต์ Python (“exp.py”) ก่อนจะโคลน exploit ของ CVE-2026-60004 มาใช้ ในบรรดาเป้าหมายมีทั้งบริษัทที่ปรึกษาด้านการศึกษาต่อต่างประเทศที่ตั้งอยู่ในอินเดีย และผู้ให้บริการไอทีแบบ managed (MSP) ในสหรัฐฯ นอกจากนี้ยังมีการสำรวจข้อมูลอย่างละเอียดของบริษัทเทรดเชิงปริมาณ (quantitative trading) ในอาร์เจนตินา การขโมยข้อมูลจากบริษัทระบบอัตโนมัติในภาคอุตสาหกรรมของไต้หวัน รวมถึง repository หลายร้อยรายการที่เกี่ยวกับเครื่องมือ SCADA/HMI แพลตฟอร์ม IoT ตัวดักจับแพ็กเก็ตเครือข่าย ค่าตั้งเซิร์ฟเวอร์ และแอปพลิเคชันธุรกิจภายใน ตลอดจนการขโมยข้อมูลจากเป้าหมายในกาตาร์ ทั้งแพลตฟอร์มบริหารการเรียนรู้ แชตบอต AI เครื่องมืออัตโนมัติของ workflow และปลั๊กอิน WordPress และการทำแผนที่โครงสร้างพื้นฐานอย่างละเอียดของบริษัทพลังงานหมุนเวียนในแคนาดา พร้อมขโมย repository ความลับของค่าตั้งค่า โทเค็นภายใน กุญแจโฮสต์ SSH และแอปพลิเคชันภายใน
ผลกระทบ
จุดที่ทำให้เหตุการณ์นี้น่ากังวลคือความเร็ว โดยผู้โจมตีเปลี่ยนช่องโหว่แบบ N-day (ช่องโหว่ที่มีแพตช์แล้วแต่ยังมีเครื่องที่ไม่อัปเดต) ในแพลตฟอร์มพัฒนาซอฟต์แวร์ที่ดูแลเองให้กลายเป็นเครื่องมือกวาดโจมตีอัตโนมัติได้ภายในไม่กี่วันหลังช่องโหว่ถูกเปิดเผย ผลลัพธ์คือซอร์สโค้ด credential ความลับต่าง ๆ และโครงสร้างพื้นฐานที่เชื่อมโยงกันขององค์กรถูกเปิดเผยได้อย่างรวดเร็ว ยิ่งเมื่อผสานการโจมตี Gitea อัตโนมัติเข้ากับการเลือกเป้าหมายอย่างเป็นระบบ ผู้โจมตีก็สามารถไต่จากการขโมย repository ไปสู่การเก็บ credential การฝังตัวถาวร และการเคลื่อนตัวด้านข้ามในเครือข่ายของเหยื่อได้ การที่กลุ่มมุ่งเป้าองค์กรที่เกี่ยวข้องกับการเลือกตั้ง กลาโหม พลังงาน หน่วยงานรัฐ และงานวิจัย ยังบ่งชี้ถึงลำดับความสำคัญในการเก็บข่าวกรองที่จงใจ ควบคู่ไปกับการสแกนแบบฉวยโอกาสในวงกว้าง
คำแนะนำ
องค์กรที่รัน Gitea แบบดูแลเองควรเร่งอัปเดตเป็นเวอร์ชันที่แก้ไข CVE-2026-60004 แล้วโดยเร็วที่สุด และจำกัดการเปิด Gitea สู่อินเทอร์เน็ตโดยตรงเท่าที่จำเป็น เนื่องจากผู้โจมตีอาศัยการสแกน instance ที่เปิดสาธารณะเป็นหลัก องค์กรที่อาจได้รับผลกระทบควรถือว่า credential กุญแจ SSH และความลับที่ฝังอยู่ในระบบมีความเสี่ยงและหมุนเปลี่ยนใหม่ พร้อมตรวจสอบว่ามีบัญชีถูกลงทะเบียนเข้ามาผิดปกติหรือ repository ถูกดึงออกไปหรือไม่ นอกจากนี้ควรล่าหาร่องรอยของ rootkit แบบ LD_PRELOAD และแบ็กดอร์ JITTERLY โดยตรวจฟังก์ชันของระบบที่ถูกแพตช์ผิดปกติ โปรเซสหรือการเชื่อมต่อที่ถูกซ่อน และเฝ้าระวังการเคลื่อนตัวด้านข้างไปยังระบบเสมือนจริงอย่างคลัสเตอร์ Proxmox ที่เชื่อมต่ออยู่