Resource Hijacking

Resource Hijacking (przejęcie zasobów) to atak, w którym napastnik wykorzystuje moc obliczeniową, łącze sieciowe lub usługi przejętego systemu do własnych, zasobożernych zadań — bez zgody i zwykle bez wiedzy właściciela. W katalogu technik ataku MITRE ATT&CK (powszechnie używanej mapie metod napastników) figuruje jako technika T1496 w grupie Impact (wpływ na działanie). Trafia tam dlatego, że nadmierne zużycie zasobów potrafi spowolnić, a czasem wręcz unieruchomić system albo usługę. Najczęstsze odmiany to cryptojacking (kopanie kryptowalut), proxyjacking (odsprzedaż cudzego łącza), nadużycie usług chmurowych oraz — coraz częściej — LLMjacking (kradzież dostępu do modeli AI).

Jak działa Resource Hijacking?

Cel jest jeden: zamienić cudze zasoby w darmowe źródło mocy lub łącza, na którym napastnik zarabia. Rachunek — prąd, koszty chmury, zużycie sprzętu — płaci ofiara. Atak rzadko niszczy dane. Szkoda polega na ukrytym, pasożytniczym zużyciu zasobów, które potrafi działać miesiącami, zanim ktokolwiek je zauważy.

Przebieg jest zwykle taki:

1. Wejście do systemu — przez wykradzione hasła, lukę w aplikacji webowej, niezabezpieczone API (np. Docker, Kubernetes, Jenkins), źle skonfigurowaną chmurę albo phishing.
2. Wgranie ładunku — instalacja programu kopiącego (np. XMRig), klienta sieci proxy, skryptu w przeglądarce ofiary lub uruchomienie usługi chmurowej na cudzych kluczach.
3. Zadomowienie się w systemie — wpisy w cron, jednostki systemd, usługi Windows, zadania CI/CD czy kontenery odtwarzane po restarcie, żeby atak przetrwał.
4. Praca w ukryciu — proces kopiący lub proxy działa w tle, często z przyhamowanym zużyciem procesora, wyłącza agentów monitorujących i maskuje swój ruch, żeby nie zwrócić na siebie uwagi.

Jakie są podtechniki T1496 w MITRE ATT&CK?

MITRE dzieli Resource Hijacking na cztery podtechniki — według tego, jaki zasób jest nadużywany:

• Compute Hijacking (T1496.001) — przejęcie mocy obliczeniowej, najczęściej do kopania kryptowalut (cryptojacking). Króluje tu Monero (XMR), bo jest anonimowe i opłaca się je kopać na zwykłym procesorze.
• Bandwidth Hijacking (T1496.002) — przejęcie łącza i odsprzedaż go w sieciach proxy (proxyjacking). Napastnik zarabia, udostępniając łącze ofiary jako punkt wyjściowy ruchu.
• SMS Pumping (T1496.003) — generowanie sztucznego ruchu SMS (np. przez formularze wysyłające kody weryfikacyjne), żeby nabić opłaty na rzecz operatora będącego w zmowie z napastnikiem.
• Cloud Service Hijacking (T1496.004) — nadużycie usług chmurowych, np. platform do masowej wysyłki wiadomości (spam) albo usług AI/LLM, obciążające kosztami konto ofiary.

Czym różni się cryptojacking od proxyjackingu i LLMjackingu?

To trzy odmiany tej samej techniki. Różni je rodzaj kradzionego zasobu i to, jak łatwo je wykryć:

• Cryptojacking kradnie moc obliczeniową. Wykrywa się go najłatwiej, bo daje wysokie, stałe obciążenie procesora lub karty graficznej, wzrost temperatury i charakterystyczny ruch do pul kopiących (protokół Stratum, zwykle porty 3333, 5555 lub 14444).
• Proxyjacking kradnie łącze. Obciążenie procesora jest niskie, więc atak łatwiej ukryć. Sygnałem są nietypowe, długie połączenia wychodzące do usług proxy i wzrost transferu bez powodu.
• LLMjacking kradnie dostęp do płatnych modeli AI za pomocą wykradzionych kluczy API albo poświadczeń do chmury (np. usług takich jak Amazon Bedrock). Nie instaluje żadnego programu na komputerze ofiary — koszt wychodzi na jaw dopiero na rachunku za chmurę, a ten potrafi sięgać dziesiątek tysięcy dolarów dziennie. Tu nie pomoże patrzenie na obciążenie procesora; trzeba analizować logi (np. CloudTrail) i nietypowe wywołania do usług AI.

Wspólny mianownik jest zawsze ten sam: ofiara płaci za zasoby, z których nie korzysta, a napastnik na nich zarabia albo odsprzedaje je na nielegalnych rynkach.

Dlaczego cele to chmura, kontenery i API?

Serwery i środowiska chmurowe kuszą najbardziej, bo mają dużo zasobów i potrafią się elastycznie skalować. Szczególnie narażone są:

• Wystawione API kontenerów — niezabezpieczone API Dockera czy panel Kubernetes pozwalają wgrać kopaczy i mnożyć je, tworząc kolejne kontenery w klastrze.
• Środowiska chmurowe (IaaS) — wykradzione poświadczenia lub błędna konfiguracja pozwalają uruchamiać maszyny wirtualne i funkcje wyłącznie po to, by kopać.
• Potoki CI/CD — wstrzyknięcie ładunku do takiego potoku daje i moc obliczeniową, i sposób na dalsze rozprzestrzenianie.
• Komputery użytkowników — przejmowane są wprost, a przeglądarki przez drive-by mining, czyli skrypty (JavaScript/WebAssembly) podrzucone na zhakowanych stronach.

Znane kampanie, takie jak TeamTNT czy Rocke Group, specjalizowały się w masowym wykorzystaniu słabo zabezpieczonej infrastruktury chmurowej i kontenerowej.

Jak wykrywać Resource Hijacking? (kąt SOC i NDR)

MITRE wprost zaznacza, że tej techniki nie da się łatwo zablokować z góry, bo nadużywa ona zwykłych, legalnych funkcji systemu. Dlatego liczy się wykrywanie oparte na telemetrii — danych o tym, co dzieje się w systemie i w sieci — oraz łączenie kilku sygnałów naraz:

• Dane z systemu — utrzymujące się, nietypowe zużycie procesora lub karty graficznej odbiegające od normy, skoki temperatury, nieznane procesy oraz zmiany w cron, systemd czy usługach. Samo wyłączenie agentów monitorujących też warto traktować jako sygnał włamania.
• Dane z sieci (NDR/NetFlow) — stałe, niewielkie połączenia wychodzące do nieznanych pul kopiących, ruch Stratum na typowych portach, odpytywanie domen pul w zapytaniach DNS, a przy proxyjackingu — długie sesje do dostawców proxy. Obserwacja przepływów ujawnia połączenia, których nie widać z poziomu pojedynczego komputera.
• Anomalie tożsamości i kosztów (chmura) — nagłe skoki rachunków, użycie poświadczeń deweloperskich na produkcji, nietypowe wywołania API do usług AI oraz analiza logów audytowych (CloudTrail, logi GCP/Azure).
• Łączenie sygnałów — pojedynczy wskaźnik (np. wysokie obciążenie procesora) bywa fałszywym alarmem. Pewność daje dopiero połączenie obciążenia z ruchem do puli kopiącej albo z anomalią w poświadczeniach.

Jak ograniczać ryzyko Resource Hijackingu?

Skoro pełne zablokowanie ataku nie jest możliwe, ochrona opiera się na zmniejszaniu pola do ataku i szybkim wykrywaniu:

• Nie wystawiaj API (Docker, Kubernetes, Jenkins) do internetu i wymagaj na nich uwierzytelniania.
• Na bieżąco łataj luki w aplikacjach webowych, bo to częsta brama wejścia.
• Stosuj zasadę minimalnych uprawnień dla poświadczeń chmurowych, rotuj klucze API i włącz alerty kosztowe.
• Ustal normę zużycia zasobów i ruchu sieciowego, a potem pilnuj odchyleń (EDR/XDR plus NDR/monitoring przepływów).
• Dziel sieć na segmenty, żeby utrudnić łączność z zewnętrznymi pulami i usługami proxy.

Dowiedz się więcej

• Techniki MITRE ATT&CK w bezpieczeństwie sieci — MITRE ATT&CK opisuje techniki, które obejmują też zajmowanie zasobów systemu przez atakującego.
• Podatność IDOR – jak wykryć atak na aplikacje webowe przez analizę ruchu HTTP — IDOR może prowadzić do nadużycia zasobów aplikacji przez dostęp do cudzych obiektów.
• Zaawansowane metody ochrony przed atakami DDoS w firmach — DDoS to klasyczny przykład Resource Hijacking, bo przeciąża zasoby usług i infrastruktury.
• Jak wykryć kopanie kryptowalut w Twojej organizacji? — Kopanie kryptowalut bez zgody to bezpośrednie przejęcie zasobów obliczeniowych organizacji.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — ARP spoofing może umożliwić przejęcie ruchu i wykorzystywanie zasobów sieciowych ofiary.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — Błędy konfiguracji mogą ułatwić atakującym zajęcie zasobów przez nieautoryzowany dostęp.