根據 Acronis 威脅研究單位（TRU）的分析報告，一個被追蹤為 Red Heron 的駭客組織近期發動了一場大規模的跨國網路間諜行動。該組織利用 Gitea 伺服器中的嚴重漏洞，成功入侵分布在加拿大、美國、台灣、阿根廷、卡達與斯里蘭卡等六個國家的 13 家組織。這次行動的目標極具針對性，涵蓋了國防、能源、航空航太、電信、政府、公共安全以及研究等關鍵領域。
背景與漏洞利用
本次攻擊的核心在於 CVE-2026-60004，這是一個存在於 Gitea 中的遠端程式碼執行（Remote Code Execution, RCE）漏洞。RCE 是一種極其危險的漏洞，允許攻擊者在不需要合法權限的情況下，從遠端在目標伺服器上執行任意指令，進而完全控制該系統。Gitea 是一個輕量級的自託管 Git 服務，許多組織用它來管理原始碼與開發流程。
Red Heron 的作法極其迅速且自動化。在該漏洞於 2026 年 7 月公開後，他們迅速將公開的漏洞證明（Proof-of-Concept, PoC）程式碼改造為一套自動化的 Python 框架，命名為 exp_enhanced.py。這套框架能自動執行註冊帳號、利用漏洞入侵伺服器、竊取程式碼儲存庫（Repositories）並清除部分入侵痕跡。根據研究顯示，Red Heron 掃描了分布在七個國家的 1,386 個 Gitea 實例，並特別針對台灣系統建立了包含 477 個目標的獨立資料集。
核心工具與技術手段
為了在入侵後維持長期控制權，Red Heron 部署了高度定制化的惡意軟體。其中最核心的工具是一款名為 JITTERLY 的 C++ Linux 植入程式（Implant）。植入程式是指被安裝在受害者系統中，用以建立後門並接收遠端指令的惡意軟體。JITTERLY 支援超過 30 種後滲透指令，包括執行 Shell 指令、傳輸檔案、終止進程、建立網路隧道（Network Tunneling）以及在內網進行橫向移動（Lateral Movement），讓攻擊者能從一台被攻破的伺服器跳轉到內網的其他設備。
更令人擔憂的是，JITTERLY 內部集成了一款名為 SIXZUT 的 LD_PRELOAD Rootkit。Rootkit 是一種旨在隱藏自身及其他惡意活動的深層系統工具。SIXZUT 透過修改 Linux 系統中的 15 個不同函數，能夠隱藏惡意檔案、進程以及網路連線，使傳統的安全偵測工具難以發現。此外，它還具備自我恢復能力，即使被系統管理員終止或刪除，也能夠自動重新啟動，確保攻擊者對目標系統的持久掌控。
滲透路徑與實務影響
Red Heron 的攻擊路徑呈現出從外而內、由淺入深的特徵。他們首先利用 Gitea 漏洞進入環境，隨後竊取儲存庫中的原始碼、憑證（Credentials）與秘密金鑰（Secrets），以此獲取更高權限。在台灣的一個案例中，攻擊者成功從 Gitea 伺服器橫向移動，最終取得了 Proxmox 叢集（一個開源的虛擬化管理平台）三個節點的 root 最高管理權限。
這次行動導致的大量敏感資料外洩，具體影響包括：台灣的一家工業自動化公司被竊取了數百個與 SCADA（監控與資料擷取系統）及 HMI（人機介面）工具、IoT 平台整合、網路嗅探器及內部商業應用相關的儲存庫；加拿大的一家再生能源公司則被外洩了配置秘密、內部 Token、SSH 主機金鑰及內部應用程式資訊；卡達的目標則失去了 AI 聊天機器人與工作流自動化工具的資料。
分析與限制
Acronis 以中等信心程度將 Red Heron 判定為與中國相關的威脅參與者。此判斷基於多項證據：攻擊者使用簡體中文對目標進行分類，且其對台灣的定義符合特定政治立場，而其選擇的目標產業（國防、能源、電信等）也高度契合中國的情報蒐集優先順序。
值得注意的是，雖然攻擊過程高度自動化，但研究員 Subhajeet Singha 指出，目前沒有證據顯示 Red Heron 使用了人工智慧（AI）來開發其攻擊框架。他們主要是將公開的漏洞 PoC 與開源工具進行適配與組合。這次事件凸顯了自託管開發平台（Self-hosted development platforms）的風險：一旦出現 N-day 漏洞（即已公開但尚未修補的漏洞），攻擊者能在極短時間內將其武器化，將開發環境轉化為進入企業內網的跳板，導致原始碼與基礎設施全面失守。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。