{"id":4822,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4822"},"modified":"2026-08-12T19:02:35","modified_gmt":"2026-08-12T17:02:35","slug":"resource-hijacking","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/resource-hijacking","title":{"rendered":"Resource Hijacking"},"content":{"rendered":"<p><strong>Resource Hijacking<\/strong> (przej\u0119cie zasob\u00f3w) to atak, w kt\u00f3rym napastnik wykorzystuje moc obliczeniow\u0105, \u0142\u0105cze sieciowe lub us\u0142ugi przej\u0119tego systemu do w\u0142asnych, zasobo\u017cernych zada\u0144 \u2014 bez zgody i zwykle bez wiedzy w\u0142a\u015bciciela. W katalogu technik ataku <strong>MITRE ATT&amp;CK<\/strong> (powszechnie u\u017cywanej mapie metod napastnik\u00f3w) figuruje jako technika <code>T1496<\/code> w grupie <em>Impact<\/em> (wp\u0142yw na dzia\u0142anie). Trafia tam dlatego, \u017ce nadmierne zu\u017cycie zasob\u00f3w potrafi spowolni\u0107, a czasem wr\u0119cz unieruchomi\u0107 system albo us\u0142ug\u0119. Najcz\u0119stsze odmiany to cryptojacking (kopanie kryptowalut), proxyjacking (odsprzeda\u017c cudzego \u0142\u0105cza), nadu\u017cycie us\u0142ug chmurowych oraz \u2014 coraz cz\u0119\u015bciej \u2014 LLMjacking (kradzie\u017c dost\u0119pu do modeli AI).<\/p>\n<h2>Jak dzia\u0142a Resource Hijacking?<\/h2>\n<p>Cel jest jeden: zamieni\u0107 cudze zasoby w darmowe \u017ar\u00f3d\u0142o mocy lub \u0142\u0105cza, na kt\u00f3rym napastnik zarabia. Rachunek \u2014 pr\u0105d, koszty chmury, zu\u017cycie sprz\u0119tu \u2014 p\u0142aci ofiara. Atak rzadko niszczy dane. Szkoda polega na ukrytym, paso\u017cytniczym zu\u017cyciu zasob\u00f3w, kt\u00f3re potrafi dzia\u0142a\u0107 miesi\u0105cami, zanim ktokolwiek je zauwa\u017cy.<\/p>\n<p>Przebieg jest zwykle taki:<\/p>\n<ol>\n<li><strong>Wej\u015bcie do systemu<\/strong> \u2014 przez wykradzione has\u0142a, luk\u0119 w aplikacji webowej, niezabezpieczone <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a> (np. Docker, Kubernetes, Jenkins), \u017ale skonfigurowan\u0105 chmur\u0119 albo <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/phishing\">phishing<\/a>.<\/li>\n<li><strong>Wgranie \u0142adunku<\/strong> \u2014 instalacja programu kopi\u0105cego (np. <code>XMRig<\/code>), klienta sieci proxy, skryptu w przegl\u0105darce ofiary lub uruchomienie us\u0142ugi chmurowej na cudzych kluczach.<\/li>\n<li><strong>Zadomowienie si\u0119 w systemie<\/strong> \u2014 wpisy w <code>cron<\/code>, jednostki <code>systemd<\/code>, us\u0142ugi Windows, zadania CI\/CD czy kontenery odtwarzane po restarcie, \u017ceby atak przetrwa\u0142.<\/li>\n<li><strong>Praca w ukryciu<\/strong> \u2014 proces kopi\u0105cy lub proxy dzia\u0142a w tle, cz\u0119sto z przyhamowanym zu\u017cyciem procesora, wy\u0142\u0105cza agent\u00f3w monitoruj\u0105cych i maskuje sw\u00f3j ruch, \u017ceby nie zwr\u00f3ci\u0107 na siebie uwagi.<\/li>\n<\/ol>\n<h2>Jakie s\u0105 podtechniki T1496 w MITRE ATT&amp;CK?<\/h2>\n<p>MITRE dzieli Resource Hijacking na cztery podtechniki \u2014 wed\u0142ug tego, jaki zas\u00f3b jest nadu\u017cywany:<\/p>\n<ul>\n<li><strong>Compute Hijacking (<\/strong><strong><code>T1496.001<\/code><\/strong><strong>)<\/strong> \u2014 przej\u0119cie mocy obliczeniowej, najcz\u0119\u015bciej do kopania kryptowalut (cryptojacking). Kr\u00f3luje tu Monero (XMR), bo jest anonimowe i op\u0142aca si\u0119 je kopa\u0107 na zwyk\u0142ym procesorze.<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/bandwidth\">Bandwidth<\/a> Hijacking (<\/strong><strong><code>T1496.002<\/code><\/strong><strong>)<\/strong> \u2014 przej\u0119cie \u0142\u0105cza i odsprzeda\u017c go w sieciach proxy (proxyjacking). Napastnik zarabia, udost\u0119pniaj\u0105c \u0142\u0105cze ofiary jako punkt wyj\u015bciowy ruchu.<\/li>\n<li><strong>SMS Pumping (<\/strong><strong><code>T1496.003<\/code><\/strong><strong>)<\/strong> \u2014 generowanie sztucznego ruchu SMS (np. przez formularze wysy\u0142aj\u0105ce kody weryfikacyjne), \u017ceby nabi\u0107 op\u0142aty na rzecz operatora b\u0119d\u0105cego w zmowie z napastnikiem.<\/li>\n<li><strong>Cloud Service Hijacking (<\/strong><strong><code>T1496.004<\/code><\/strong><strong>)<\/strong> \u2014 nadu\u017cycie us\u0142ug chmurowych, np. platform do masowej wysy\u0142ki wiadomo\u015bci (spam) albo us\u0142ug AI\/LLM, obci\u0105\u017caj\u0105ce kosztami konto ofiary.<\/li>\n<\/ul>\n<h2>Czym r\u00f3\u017cni si\u0119 cryptojacking od proxyjackingu i LLMjackingu?<\/h2>\n<p>To trzy odmiany tej samej techniki. R\u00f3\u017cni je rodzaj kradzionego zasobu i to, jak \u0142atwo je wykry\u0107:<\/p>\n<ul>\n<li><strong>Cryptojacking<\/strong> kradnie moc obliczeniow\u0105. Wykrywa si\u0119 go naj\u0142atwiej, bo daje wysokie, sta\u0142e obci\u0105\u017cenie procesora lub karty graficznej, wzrost temperatury i charakterystyczny ruch do pul kopi\u0105cych (protok\u00f3\u0142 <code>Stratum<\/code>, zwykle porty <code>3333<\/code>, <code>5555<\/code> lub <code>14444<\/code>).<\/li>\n<li><strong>Proxyjacking<\/strong> kradnie \u0142\u0105cze. Obci\u0105\u017cenie procesora jest niskie, wi\u0119c atak \u0142atwiej ukry\u0107. Sygna\u0142em s\u0105 nietypowe, d\u0142ugie po\u0142\u0105czenia wychodz\u0105ce do us\u0142ug proxy i wzrost transferu bez powodu.<\/li>\n<li><strong>LLMjacking<\/strong> kradnie dost\u0119p do p\u0142atnych modeli AI za pomoc\u0105 wykradzionych kluczy <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a> albo po\u015bwiadcze\u0144 do chmury (np. us\u0142ug takich jak Amazon Bedrock). Nie instaluje \u017cadnego programu na komputerze ofiary \u2014 koszt wychodzi na jaw dopiero na rachunku za chmur\u0119, a ten potrafi si\u0119ga\u0107 dziesi\u0105tek tysi\u0119cy dolar\u00f3w dziennie. Tu nie pomo\u017ce patrzenie na obci\u0105\u017cenie procesora; trzeba analizowa\u0107 logi (np. <code>CloudTrail<\/code>) i nietypowe wywo\u0142ania do us\u0142ug AI.<\/li>\n<\/ul>\n<p>Wsp\u00f3lny mianownik jest zawsze ten sam: ofiara p\u0142aci za zasoby, z kt\u00f3rych nie korzysta, a napastnik na nich zarabia albo odsprzedaje je na nielegalnych rynkach.<\/p>\n<h2>Dlaczego cele to chmura, kontenery i API?<\/h2>\n<p>Serwery i \u015brodowiska chmurowe kusz\u0105 najbardziej, bo maj\u0105 du\u017co zasob\u00f3w i potrafi\u0105 si\u0119 elastycznie skalowa\u0107. Szczeg\u00f3lnie nara\u017cone s\u0105:<\/p>\n<ul>\n<li><strong>Wystawione API kontener\u00f3w<\/strong> \u2014 niezabezpieczone API Dockera czy panel Kubernetes pozwalaj\u0105 wgra\u0107 kopaczy i mno\u017cy\u0107 je, tworz\u0105c kolejne kontenery w klastrze.<\/li>\n<li><strong>\u015arodowiska chmurowe (IaaS)<\/strong> \u2014 wykradzione po\u015bwiadczenia lub b\u0142\u0119dna konfiguracja pozwalaj\u0105 uruchamia\u0107 maszyny wirtualne i funkcje wy\u0142\u0105cznie po to, by kopa\u0107.<\/li>\n<li><strong>Potoki CI\/CD<\/strong> \u2014 wstrzykni\u0119cie \u0142adunku do takiego potoku daje i moc obliczeniow\u0105, i spos\u00f3b na dalsze rozprzestrzenianie.<\/li>\n<li><strong>Komputery u\u017cytkownik\u00f3w<\/strong> \u2014 przejmowane s\u0105 wprost, a przegl\u0105darki przez drive-by mining, czyli skrypty (JavaScript\/WebAssembly) podrzucone na zhakowanych stronach.<\/li>\n<\/ul>\n<p>Znane kampanie, takie jak <strong>TeamTNT<\/strong> czy <strong>Rocke Group<\/strong>, specjalizowa\u0142y si\u0119 w masowym wykorzystaniu s\u0142abo zabezpieczonej infrastruktury chmurowej i kontenerowej.<\/p>\n<h2>Jak wykrywa\u0107 Resource Hijacking? (k\u0105t SOC i NDR)<\/h2>\n<p>MITRE wprost zaznacza, \u017ce tej techniki nie da si\u0119 \u0142atwo zablokowa\u0107 z g\u00f3ry, bo nadu\u017cywa ona zwyk\u0142ych, legalnych funkcji systemu. Dlatego liczy si\u0119 wykrywanie oparte na telemetrii \u2014 danych o tym, co dzieje si\u0119 w systemie i w sieci \u2014 oraz \u0142\u0105czenie kilku sygna\u0142\u00f3w naraz:<\/p>\n<ul>\n<li><strong>Dane z systemu<\/strong> \u2014 utrzymuj\u0105ce si\u0119, nietypowe zu\u017cycie procesora lub karty graficznej odbiegaj\u0105ce od normy, skoki temperatury, nieznane procesy oraz zmiany w <code>cron<\/code>, <code>systemd<\/code> czy us\u0142ugach. Samo wy\u0142\u0105czenie agent\u00f3w monitoruj\u0105cych te\u017c warto traktowa\u0107 jako sygna\u0142 w\u0142amania.<\/li>\n<li><strong>Dane z sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>)<\/strong> \u2014 sta\u0142e, niewielkie po\u0142\u0105czenia wychodz\u0105ce do nieznanych pul kopi\u0105cych, ruch <code>Stratum<\/code> na typowych portach, odpytywanie domen pul w zapytaniach <code>DNS<\/code>, a przy proxyjackingu \u2014 d\u0142ugie sesje do dostawc\u00f3w proxy. Obserwacja przep\u0142yw\u00f3w ujawnia po\u0142\u0105czenia, kt\u00f3rych nie wida\u0107 z poziomu pojedynczego komputera.<\/li>\n<li><strong>Anomalie to\u017csamo\u015bci i koszt\u00f3w (chmura)<\/strong> \u2014 nag\u0142e skoki rachunk\u00f3w, u\u017cycie po\u015bwiadcze\u0144 deweloperskich na produkcji, nietypowe wywo\u0142ania API do us\u0142ug AI oraz analiza log\u00f3w audytowych (<code>CloudTrail<\/code>, logi GCP\/Azure).<\/li>\n<li><strong>\u0141\u0105czenie sygna\u0142\u00f3w<\/strong> \u2014 pojedynczy wska\u017anik (np. wysokie obci\u0105\u017cenie procesora) bywa fa\u0142szywym alarmem. Pewno\u015b\u0107 daje dopiero po\u0142\u0105czenie obci\u0105\u017cenia z ruchem do puli kopi\u0105cej albo z anomali\u0105 w po\u015bwiadczeniach.<\/li>\n<\/ul>\n<h2>Jak ogranicza\u0107 ryzyko Resource Hijackingu?<\/h2>\n<p>Skoro pe\u0142ne zablokowanie ataku nie jest mo\u017cliwe, ochrona opiera si\u0119 na zmniejszaniu pola do ataku i szybkim wykrywaniu:<\/p>\n<ul>\n<li>Nie wystawiaj API (Docker, Kubernetes, Jenkins) do internetu i wymagaj na nich uwierzytelniania.<\/li>\n<li>Na bie\u017c\u0105co \u0142ataj luki w aplikacjach webowych, bo to cz\u0119sta brama wej\u015bcia.<\/li>\n<li>Stosuj zasad\u0119 minimalnych uprawnie\u0144 dla po\u015bwiadcze\u0144 chmurowych, rotuj klucze API i w\u0142\u0105cz alerty kosztowe.<\/li>\n<li>Ustal norm\u0119 zu\u017cycia zasob\u00f3w i ruchu sieciowego, a potem pilnuj odchyle\u0144 (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/xdr\">XDR<\/a> plus <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/monitoring przep\u0142yw\u00f3w).<\/li>\n<li>Dziel sie\u0107 na segmenty, \u017ceby utrudni\u0107 \u0142\u0105czno\u015b\u0107 z zewn\u0119trznymi pulami i us\u0142ugami proxy.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/techniki-attck-mittre-w-bezpieczenstwie-twojej-sieci\">Techniki MITRE ATT&amp;CK w bezpiecze\u0144stwie sieci<\/a> \u2014 MITRE ATT&amp;CK opisuje techniki, kt\u00f3re obejmuj\u0105 te\u017c zajmowanie zasob\u00f3w systemu przez atakuj\u0105cego.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/podatnosc-idor-jak-wykryc-atak-na-aplikacje-webowe-przez-analize-ruchu-http\">Podatno\u015b\u0107 IDOR \u2013 jak wykry\u0107 atak na aplikacje webowe przez analiz\u0119 ruchu HTTP<\/a> \u2014 IDOR mo\u017ce prowadzi\u0107 do nadu\u017cycia zasob\u00f3w aplikacji przez dost\u0119p do cudzych obiekt\u00f3w.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/zaawansowane-metody-ochrony-przed-atakami-ddos-w-frimach\">Zaawansowane metody ochrony przed atakami DDoS w firmach<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a> to klasyczny przyk\u0142ad Resource Hijacking, bo przeci\u0105\u017ca zasoby us\u0142ug i infrastruktury.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/jak-wykryc-kopanie-kryptowalut-w-twojej-organizacji\">Jak wykry\u0107 kopanie kryptowalut w Twojej organizacji?<\/a> \u2014 Kopanie kryptowalut bez zgody to bezpo\u015brednie przej\u0119cie zasob\u00f3w obliczeniowych organizacji.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 ARP spoofing mo\u017ce umo\u017cliwi\u0107 przej\u0119cie ruchu i wykorzystywanie zasob\u00f3w sieciowych ofiary.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 B\u0142\u0119dy konfiguracji mog\u0105 u\u0142atwi\u0107 atakuj\u0105cym zaj\u0119cie zasob\u00f3w przez nieautoryzowany dost\u0119p.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4822","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Resource Hijacking","ikona":"","krotki_opis":"Atak (MITRE ATT&CK T1496), w kt\u00f3rym napastnik wykorzystuje moc obliczeniow\u0105, \u0142\u0105cze lub us\u0142ugi przej\u0119tego systemu do w\u0142asnych zada\u0144 \u2014 od cryptojackingu po LLMjacking."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4822","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4822"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}