Red Heron, un grupo sospechoso de origen chino catalogado como amenaza avanzada persistente (APT), ha sido identificado como el responsable de una campaña de intrusión masiva que explota la vulnerabilidad de ejecución remota de código (RCE) recientemente revelada en Gitea. Los investigadores de la Unidad de Investigación de Amenazas de Acronis (TRU) observaron que el actor utilizó herramientas automatizadas para escanear más de mil trescientos servidores Gitea desplegados en siete naciones, identificando además 477 sistemas ubicados en Taiwán.
Gitea es una plataforma de control de versiones de código abierto, similar a GitHub, que permite a organizaciones y desarrolladores alojar repositorios de software de forma autónoma. La vulnerabilidad RCE, catalogada como CVE‑2024‑xxxx, permite a un atacante enviar una petición HTTP especialmente crafted que ejecuta código arbitrario en el servidor sin necesidad de autenticación. Este fallo, que afecta a versiones anteriores a la 1.23.0, se ha convertido en un objetivo atractivo para actores delictivos porque compromete la integridad de la cadena de suministro de desarrollo y puede facilitar el robo de credenciales, claves privadas y datos sensibles.
Según el informe de Acronis, Red Heron escaneó 1 386 instancias de Gitea distribuidas en siete países, entre los que destacan España, México, Colombia, Perú, Chile, Argentina y Taiwán. De esas, 477 correspondían a sistemas ubicados en Taiwán, lo que sugiere un interés especial en la infraestructura de código fuente de esa región. La campaña se desarrolló en un período de dos semanas, durante el cual los atacantes lograron infiltrar y mantener acceso persistente en 13 organizaciones, que abarcan sectores como finanzas, tecnología y telecomunicaciones.
Una vez dentro, Red Heron extrajo configuraciones de bases de datos, claves SSH y tokens de acceso, y estableció canales de comunicación con servidores de comando y control externos. Los indicios apuntan a que la intención principal era espionaje estratégico y posible preparación de ataques secundarios contra infraestructuras críticas de los objetivo. La brecha de seguridad no solo expuso los repositorios internos, sino que también pudo haber permitido la inserción de código malicioso en proyectos de código abierto que dependen de los repositorios comprometidos.
Para los profesionales de tecnología hispanohablantes, este episodio subraya la necesidad de adoptar prácticas de gestión de vulnerabilidades ágiles y de monitorizar continuamente los servicios que exponen sus pipelines de desarrollo. La ausencia de actualización o de hardening en entornos Gitea puede convertir una herramienta de colaboración en un vector de ataque de alto impacto. Asimismo, la falta de auditorías regulares de configuración y de revisión de logs dificulta la detección temprana de intentos de intrusión, lo que permite que los atacantes mantengan una presencia prolongada dentro de la infraestructura. La campaña de Red Heron demuestra que los actores de estado pueden explotar vulnerabilidades de software de código abierto para comprometer cadenas de suministro a nivel global, obligando a reforzar la seguridad de los repositorios internos y a implementar controles de acceso basados en roles.
Los equipos de seguridad deben priorizar la aplicación de parches, segmentar el acceso a los repositorios mediante políticas de least privilege y emplear soluciones de detección de anomalías en tiempo real para identificar actividades sospechosas en los servidores Gitea. La vigilancia constante, el uso de firmas de versiones y la capacitación continua de personal son medidas esenciales para mitigar el riesgo de que una vulnerabilidad conocida sea weaponizada por grupos APT. En un ecosistema donde el código fuente es la base de la innovación, la protección de los entornos de desarrollo debe ser una prioridad indiscutible.
