LLMJacking: как злоумышленники монетизируют украденные LLM-ресурсы

Злоумышленники монетизируют украденные LLM-ресурсы через LLMJacking

Google Threat Intelligence зафиксировала случаи хищения ресурсов больших языковых моделей (LLM) у организаций. Атаку назвали LLMJacking. Инциденты произошли в Северной и Южной Америке, а также в Азиатско-Тихоокеанском регионе. Пострадали компании из финансового, розничного, технологического и транспортного секторов. LLMJacking отличается от криптоджекинга быстрым ростом расходов: мошенники могут вызвать списания на сумму более 100 000 долларов США за день. Общие убытки некоторых организаций достигли 1 миллиона долларов США до блокировки доступа.

Злоумышленники получают доступ через публичные LLM-эндпоинты или украденные API-ключи

Атакующие находят публично доступные эндпоинты LLM или получают действующие ключи доступа к API. Они используют автоматизированные скрипты для проверки доступности эндпоинтов, запуская собственные модели. Оставленные без защиты сервисы увеличивают поверхность атаки и могут привести к росту расходов на хостинг. Основным вектором первоначального доступа стали украденные токены идентификации облачных сервисов. К ним относятся учетные данные IAM, ключи сервисных аккаунтов, токены доступа GitHub и активные токены сессий. Злоумышленники использовали их для получения первоначального доступа к инфраструктуре целевых организаций. В одном из случаев хакеры получили доступ к облачному экземпляру через неправильно сконфигурированный ключ сервисного аккаунта. Затем они предоставили доступ к API LLM. Другая группа использовала страницу перехвата сессий, выдавая ее за портал для входа в группу пользователей LLM. Пользователи переходили на легитимный сайт LLM и вставляли JSON-полезную нагрузку с активным токеном доступа. Эти данные отправлялись на бэкенд API, обходя пароли и многофакторную аутентификацию.

Атакам подвергаются организации в разных секторах и регионах

LLMJacking затронул организации в финансовом, розничном, технологическом и транспортном секторах. Инциденты зарегистрированы в Северной и Южной Америке, а также в Азиатско-Тихоокеанском регионе. Злоумышленники специализируются на компрометации и монетизации корпоративной LLM-инфраструктуры. Отмечается разделение ролей между теми, кто получает первоначальный доступ, и операторами, управляющими инфраструктурой монетизации, известными как «LLM Mixers». LLM Mixers действуют как нелегальные шлюзы, агрегируя и перепродавая несанкционированный доступ к LLM подписчикам из теневого интернета. В одном расследовании Google Threat Intelligence Group (GTIG) выявила две отдельные группы злоумышленников, координирующих свои действия для компрометации и монетизации LLM-инфраструктуры.

Организациям следует усилить контроль доступа к LLM и мониторить расходы

После получения первоначального доступа злоумышленники систематически повышают привилегии, закрепляются в системе и проводят внутреннюю разведку для поиска целей и дополнительных учетных данных. Они перечисляют облачные сервисы, репозитории кода и хранилища данных на предмет конфиденциальных учетных данных. В одном из случаев хакеры проводили внутреннюю разведку в нескольких облачных регионах для картирования доступных сервисов и политик идентификации. В другом случае злоумышленники скомпрометировали контейнеризированную облачную среду. Они клонировали конфиденциальные кодовые базы для поиска зашифрованных секретов, переменных конфигурации и учетных данных разработчиков. Также сканировались журналы доступа для поиска учетных данных вторичных облачных сред. Злоумышленники использовали привилегии создания токенов для генерации временных учетных данных для сервисных аккаунтов с высокими привилегиями. Это привело к утечке учетных данных инфраструктуры, паролей внутренних баз данных и ключей сторонних API из менеджеров секретов облака. Другие злоумышленники создавали неавторизованные IAM-аккаунты и сервисные аккаунты с полными административными правами. Они также внедряли SSH-ключи в вычислительные экземпляры. В одном случае злоумышленники использовали уязвимость в программном обеспечении маршрутизации LLM для повышения привилегий. Они эксплуатировали уязвимость перепривязки идентификатора пользователя в конечной точке /key/regenerate (CVE-2026-40217) для повышения стандартных виртуальных ключей до полных административных учетных данных PROXY_ADMIN. Конечная цель LLMJacking — монетизация и хищение ресурсов LLM. Злоумышленники используют проксирование токенов, автоматизированное потоковое вещание моделей и предоставление оборудования GPU. Они включали различные управляемые генеративные платформы и создавали дополнительные ключи API для масштабирования операций. UNC6993 пытались генерировать дополнительные ключи API и включать связанные службы в облачных проектах жертв, что быстро привело к увеличению расходов на биллинг более чем на 100 000 долларов США. Другой злоумышленник подписывал учетные записи жертв на соглашения Pay-As-You-Go, выбирая премиальные базовые модели и запуская потоки с высоким объемом вывода. Для обхода ограничений скорости злоумышленник использовал стратегию «сжечь и ротировать», постоянно создавая и удаляя краткосрочные сервисные аккаунты. Они отслеживали интерфейс биллинга облачного провайдера для мониторинга финансовых последствий. Злоумышленники также использовали доступ для размещения собственных прокси-эндпоинтов и агентских рабочих нагрузок. Они развернули общедоступные обратные прокси и использовали пользовательские пакеты прокси Node.js для предоставления эндпоинтов, совместимых с несколькими передовыми LLM, переименованных под псевдонимом D1337-KAIROS. Злоумышленник развернул контейнеризированный бэкдор с использованием фреймворка агента Manus в скомпрометированной облачной среде. Он запрашивал вышестоящую LLM для обработки инструкций и локального выполнения результирующих команд. Для масштабирования вычислений злоумышленник выделял вычислительные экземпляры с мощными GPU, пытался развернуть высокопроизводительное оборудование в нескольких регионах и запрашивал увеличение квот через API облачного провайдера. Они также размещали шлюзы LiteLLM на внешних серверах для управления и маршрутизации трафика API. GTIG обнаружила доказательства того, что злоумышленники монетизируют украденные квоты API, продавая доступ к этим ресурсам через LLM Mixers. Они использовали общедоступные API-шлюзы и пользовательскую инфраструктуру ретрансляции для объединения украденных учетных данных, измерения использования и сокрытия источника запросов. UNC6993 использовали такие инструменты с открытым исходным кодом, как new-api (централизованный хаб моделей и шлюз) и gcli2api (инструмент прокси API, преобразующий инструменты командной строки в стандартные эндпоинты передовых моделей). Вероятно, они использовали их для агрегирования украденных ключей и балансировки нагрузки запросов между учетными записями. Предполагается, что злоумышленник продает доступ к этим инструментам через подпольные торговые площадки. Другой злоумышленник, выполнивший более 500 000 вызовов API LLM менее чем за восемь часов, использовал украденные сторонние ключи API для питания службы маршрутизации токенов jet-night.com. Jet Night передал организации-жертве почти миллион долларов в виде затрат на токены. Поскольку затраты Jet Night на токен для пользователей значительно ниже типичных рыночных ставок, GTIG полагает, что сервис работает прибыльно за счет использования украденных ключей. Например, Jet Night предлагает неограниченный план токенов примерно за 60 долларов США в месяц с заявленным доступом к передовым моделям. Этот потребительский уровень обслуживания обычно стоит от 100 до 250 долларов США в месяц. Кроме того, сервис сообщал о нескольких сбоях в своем публичном Telegram-канале, что, вероятно, связано с отзывом украденных ключей по мере обнаружения жертвами соответствующих компрометаций.