概要
中国系とされる脅威アクター「Red Heron」が、セルフホスト型GitサービスGiteaの重大な脆弱性CVE-2026-60004を悪用し、台湾・米国・カナダ・アルゼンチン・カタール・スリランカの6カ国13組織に侵入していたことが、Acronis Threat Research Unitの調査で明らかになった。標的には国防、航空宇宙、再生可能エネルギー、クオンツ取引、AI教育プラットフォームなど機密性の高い分野が含まれており、ソースコードや認証情報、内部システムの窃取が確認されている。同ユニットは「簡体字による標的分類ラベル」や台湾を中国の一部として扱う一貫した記述などを根拠に、中程度の確度でRed Heronを中国系の脅威アクターと帰属している。
攻撃の手口とタイムライン
CVE-2026-60004は2026年7月に公開されたGiteaのリモートコード実行(RCE)を可能にする重大な脆弱性である。Red Heronは公開されたばかりの概念実証(PoC)コードを、わずか数日のうちに自動化されたPythonフレームワーク「exp_enhanced.py」へと改良し、7月29日から悪用を開始した。研究者のSubhajeet Singha氏は「このキャンペーンは、セルフホスト型の開発プラットフォームに存在するNデイ脆弱性が、いかに迅速にソースコード・認証情報・シークレットの露出につながり得るかを示している」と指摘する。なお、Acronisの分析では攻撃フレームワークにAIが関与した痕跡は見られず、あくまで公開PoCを人力で改良したものだと結論づけられている。
Red Heronはまず7カ国にまたがる1,386台のGiteaインスタンスをスキャンし、台湾拠点のシステム477台については別データセットとして管理するなど、周到な事前調査を行っていた。攻撃はソースコード窃取から認証情報収集、持続的アクセスの確立、そしてrootレベルでのクラスタへの侵入を伴う横展開へと段階的に進行した。実際、台湾のある被害環境では、脆弱なGiteaサーバーから3ノード構成のProxmoxクラスタ全体のroot権限奪取にまで至っている。さらに同一の攻撃インフラは、Gitea悪用に先立って10カ国18件のJoomlaベースのWebサイトを標的にした攻撃にも再利用されていたことが判明している。
被害組織と窃取データ
侵害を受けた13組織の内訳は、台湾4件(産業オートメーション・SCADA/HMI関連企業を含む)、米国4件(選挙関連システムや自治体プラットフォームなどを含む)、カナダ2件(再生可能エネルギー企業と教育プラットフォームを含む)、アルゼンチン1件(クオンツ取引)、カタール1件(AI・学習プラットフォーム)、スリランカ1件となっており、対象分野は国防、選挙、エネルギー、航空宇宙、通信、政府機関、公共安全、研究機関と多岐にわたる。台湾の産業企業からはSCADAツール、IoT連携システム、ネットワークスニファ、監視製品を含む数百件のリポジトリが窃取され、カタールの標的からは学習管理プラットフォームやAIチャットボット、WordPressプラグインが、カナダのエネルギー企業からは設定シークレットやSSHホスト鍵、内部アプリケーションが流出したとみられる。
マルウェアと持続的アクセスの手口
Red Heronは持続的アクセスの確立に、C++で書かれたLinux向けインプラント「JITTERLY」を使用した。シェル実行、ファイル転送、プロセス終了、ネットワークトンネリング、横展開など30種類以上のポストエクスプロイテーション用コマンドをサポートする高機能なツールである。さらに、これまで報告例のなかったLD_PRELOADベースのルートキット「SIXZUT」も確認された。SIXZUTは15個のLinux関数をパッチしてファイル・プロセス・ネットワーク接続を隠蔽するとともに、マルウェア自体の強制終了を防ぐ機能を備えており、検知や対応を著しく困難にする。
今後の見通しと対策
本キャンペーンは、OSSインフラを標的にした中国系とみられる攻撃者集団がNデイ脆弱性を数日単位で兵器化する速度を改めて示すものであり、自組織で開発基盤をホストする企業にとって深刻な警鐘となる。Acronisは、Giteaを最新バージョンへ直ちにパッチ適用すること、アカウント登録の異常やリポジトリアクセスパターンの監視、開発インフラへのアクセスを制限するネットワークセグメンテーションの実施、そしてLinuxのLD_PRELOAD悪用を検知するランタイムプロセス監視の導入を推奨している。国防・エネルギー・重要インフラに関連する組織は、自社の開発環境が同様の手口に晒されていないか早急に点検する必要がある。