중국과 연관된 해킹 그룹 'Red Heron'이 소스코드 관리 플랫폼 Gitea의 심각한 원격코드실행(RCE, 인터넷을 통해 서버를 마음대로 조종할 수 있는 공격) 취약점(CVE-2026-60004)을 악용해 6개국 13개 조직의 시스템을 침해했습니다. 공격자는 취약점 공개 직후 며칠 만에 자동화된 공격 도구를 만들어 7개국 1,386개의 Gitea 서버를 스캔했으며, 소스코드와 내부 자격증명(비밀번호·토큰 등)을 대량으로 탈취했습니다. 피해 조직은 방산·에너지·통신·정부·연구 분야에 걸쳐 있으며, 한 대만 피해 사례에서는 가상화 서버 클러스터 전체의 관리자 권한까지 탈취당했습니다. 공격자는 탐지를 피하기 위해 Linux 루트킷(운영체제 깊숙이 숨는 악성코드)까지 사용했으므로, Gitea를 자체 운영 중인 조직은 즉시 패치 적용이 필요합니다.
중국 연계 위협 그룹 Red Heron이 CVE-2026-60004(Gitea RCE 취약점)를 무기화해 6개국 13개 조직을 침해했다. 공격자는 자동화 Python 프레임워크로 1,386개 인스턴스를 스캔하고, JITTERLY 임플란트와 SIXZUT LD_PRELOAD 루트킷을 배포해 지속적 접근권을 확보했다.
소스코드 저장소 대량 탈취, 내부 자격증명·SSH 키·토큰 유출, 대만 피해 조직에서 3노드 Proxmox 클러스터 루트 권한 장악. 피해 분야는 방산·에너지·선거·항공우주·정부·연구 등 고감도 영역을 포함한다.
2026년 7월 공개된 Gitea 원격코드실행 취약점(CVE-2026-60004)의 PoC(개념증명 코드)가 공개된 지 며칠 만에 자동화 공격 도구로 전환됐다. 자체 호스팅 개발 플랫폼에 대한 신속한 패치가 이루어지지 않은 조직이 표적이 됐다.
CISA KEV에 2026-08-25 등재됨. Gitea 최신 버전으로 즉시 업데이트하고, 인터넷에 노출된 인스턴스에 대한 접근 제어를 강화해야 한다. 저장소 내 자격증명·시크릿·토큰의 유출 여부를 전수 점검하고 교체해야 한다.
자체 호스팅 Gitea 인스턴스를 운영 중인 조직은 CVE-2026-60004 패치를 최우선으로 적용하고, 저장소에 하드코딩된 비밀값(API 키, SSH 키, DB 비밀번호 등)을 즉시 교체해야 한다. Joomla 기반 웹사이트도 동일 인프라에서 공격받았으므로 함께 점검이 필요하다.
본문
Ravie Lakshmanan 2026년 9월 14일 | 사이버 첩보 / 취약점
Red Heron으로 추적되는 중국 위협 행위자가 최근 공개된 Gitea 보안 취약점을 신속하게 악용해 인터넷에 노출된 인스턴스를 침해한 것으로 밝혀졌다. 이는 다국적 캠페인의 일환이다.
Acronis 위협 리서치 유닛(TRU)은 분석 보고서에서 "Red Heron은 7개국의 Gitea 인스턴스 1,386개를 스캔했으며, 대만 소재 시스템 477개를 별도로 분류해 관리했다"고 밝혔다. "공격 활동은 소스코드 탈취에서 시작해 지속적 접근 확보, 자격증명 수집, 측면 이동으로 이어졌으며, 3노드 Proxmox 클러스터에 대한 루트 수준의 접근도 포함됐다."
이번 활동으로 캐나다(2개), 아르헨티나(1개), 대만(4개), 미국(4개), 카타르(1개), 스리랑카(1개) 소재 조직이 침해된 것으로 확인됐다. 위협 행위자는 간체 중국어 레이블을 사용해 표적을 분류했으며, 대상 분야는 방산, 선거, 에너지, 항공우주, 통신, 정부, 공공 안전, 연구 분야에 걸쳐 있었다.
해당 싱가포르 사이버보안 기업은 간체 중국어 사용, 대만을 중국의 일부로 일관되게 분류하는 점, 중국의 정보 수집 우선순위와 일치하는 표적 선정 양상을 근거로 Red Heron이 중국과 연관된 맥락에서 활동하고 있다고 중간 신뢰도 수준으로 평가했다.
공격자 소유로 파악된 스테이징 서버 분석 결과, JITTERLY로 명명된 C++ 기반 Linux 임플란트가 발견됐다. 이 임플란트는 셸 실행, 파일 전송, 프로세스 종료, 네트워크 터널링, 대화형 터미널 접근, 내부 피버팅(내부망 이동) 등 30개 이상의 침해 후 명령을 지원한다. JITTERLY는 2026년 7월 온라인 별칭 "dmpdump"로 활동하는 연구자가 이미 문서화한 바 있으며, 당시 AdaptixC2 에이전트와 겹치는 부분이 있다고 기술됐다.
백도어 내에는 기존에 알려지지 않았던 LD_PRELOAD 루트킷인 SIXZUT도 포함되어 있다. SIXZUT는 15가지 Linux 함수를 패치해 파일·프로세스·네트워크 연결을 숨기고, 악성 활동의 흔적을 지우며, 악성코드가 탐지·종료되는 것을 방지하고, 종료되거나 삭제될 경우 자동 재실행되는 기능을 갖추고 있다.
Red Heron은 Gitea 원격코드실행(RCE) 취약점인 CVE-2026-60004를 무기화해 7개국 수천 개의 인스턴스를 스캔한 것으로 확인됐다. 공격자는 2026년 7월 29일부터 해당 취약점의 공개 익스플로잇을 자동화된 Python 프레임워크("exp_enhanced.py")로 전환했다.
보안 연구원 Subhajeet Singha는 "취약점이 2026년 7월 공개된 지 며칠 만에 Red Heron은 공개된 개념증명(PoC) 코드를 자동화 프레임워크로 변환했다. 이 프레임워크는 계정 등록, 취약 서버 익스플로잇, 저장소 탈취, 특정 흔적 삭제가 가능하다"고 밝혔다. 그는 "이번 캠페인은 자체 호스팅 개발 플랫폼의 N-day(공개된) 취약점이 얼마나 빨리 소스코드·자격증명·시크릿·연결된 인프라를 노출시킬 수 있는지를 잘 보여준다"고 덧붙였다.
대만의 한 피해 환경에서는 위협 행위자가 취약한 Gitea 서버를 통해 3노드 Proxmox 클러스터 전체에 루트 수준의 관리자 권한을 획득한 것이 확인됐다. 스테이징 서버 추가 분석을 통해 공격자의 전술이 추가로 밝혀졌다.
- CVE-2026-60004 익스플로잇을 복제하기 전, 동일 인프라를 사용해 Python 스크립트("exp.py")로 10개국 Joomla 기반 웹사이트 18개를 공격했다. 표적에는 인도 소재 해외 유학 컨설팅 기업과 미국 소재 IT 매니지드 서비스 제공업체(MSP)가 포함됐다.
- 아르헨티나 소재 퀀트(계량) 트레이딩 기업에 대한 광범위한 열거(enumeration) 작업을 수행했다.
- 대만 산업 자동화 기업에서 수백 개의 저장소 데이터를 탈취했다. 탈취 대상에는 SCADA/HMI 도구, IoT 플랫폼 연동 코드, 네트워크 스니퍼, 서버 설정, 감시·모니터링 제품, 내부 비즈니스 애플리케이션 관련 자료가 포함됐다.
- 카타르 소재 표적에서 학습 관리 플랫폼, AI 챗봇, 워크플로우 자동화 도구, WordPress 플러그인 관련 데이터를 탈취했다.
- 캐나다 신재생에너지 기업의 인프라를 광범위하게 매핑하고, 저장소·설정 시크릿·내부 토큰·SSH 호스트 키·내부 애플리케이션을 탈취했다.
Singha는 "자동화된 Gitea 익스플로잇과 구조화된 표적 선정을 결합함으로써 공격자는 저장소 탈취에서 자격증명 수집, 지속적 접근 확보, 피해 환경 내 측면 이동으로 신속하게 진행했다"고 말했다. 그는 "선거·방산·에너지·정부·연구 관련 조직에 집중했다는 점은 광범위한 기회주의적 스캔과 함께 의도적인 정보 수집 우선순위가 있음을 시사한다"고 덧붙였다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
