Grupa Red Heron włamała się do 13 organizacji przez lukę w serwerze Git

Grupa Red Heron przeskanowała 1386 wystawionych do internetu instancji samodzielnie hostowanego serwera Git w siedmiu krajach. Potwierdzono włamania do 13 organizacji. Grupa wykorzystała świeżo ujawnioną lukę, która pozwala wykonać kod na serwerze. Ofiary są na Tajwanie (4), w USA (4), w Kanadzie (2), a także w Argentynie, Katarze i na Sri Lance (po 1).

Według Acronis Threat Research Unit atak zaczynał się od kradzieży kodu źródłowego. Potem przyszły trwały dostęp, zbieranie danych logowania i przejście do kolejnych systemów, w tym uprawnienia root na trzywęzłowym klastrze Proxmox. Na serwerze pośrednim grupy znaleziono linuksowy implant JITTERLY, który obsługuje ponad 30 poleceń, m.in. wykonywanie komend, przesyłanie plików i tunelowanie ruchu. Wśród celów były sektory obronny, wyborczy, energetyczny, lotniczy, telekomunikacyjny i rządowy.

Dla firmy z własnym serwerem Git dostępnym z internetu kolejność jest czytelna: najpierw ginie kod, potem dane logowania i sąsiednie systemy. Materiał nie podaje poprawki ani obejścia.