‏LLMjacking: هک حساب پرداخت GCP برای خرج کردن روی Gemini

تیم Wiz CIRT (تیم پاسخ به حادثه‌ی Wiz) از یه الگوی رو به رشد تو حمله‌های ابری خبر داده به اسم LLMjacking، یعنی دزدیدن منابع ابری قربانی فقط برای اینکه هزینه‌ی اجرای انبوه مدل‌های زبانی رو اون بده. این گزارش روی چند نفوذ به Google Cloud Platform (GCP) تمرکز داره. هدف این حمله‌ها خرابکاری نیست، فقط سوءاستفاده‌ی مالیه.

شروع ماجرا فیشینگ از طریق تبلیغات اسپانسری گوگل بوده. مهاجم برای کلمه‌هایی مثل «google cloud» و «gcp» تبلیغ خریده و کاربر بعد از کلیک، از یه ریدایرکت Google Sites به یه صفحه‌ی لاگین جعلی گوگل می‌رسیده. کاربر رمز و کد MFA رو وارد می‌کرده، بعد به صفحه‌ی لاگین واقعی برگردونده می‌شده و احتمالاً فکر می‌کرده یه خطای ساده بوده. همون لحظه فیشینگ‌کیت با اطلاعات دزدیده‌شده وارد GCP قربانی می‌شده. گوگل این تبلیغ‌ها رو حذف کرده.

بعد از ورود، مهاجم از دسترسی بیش از حد اون حساب استفاده کرده. تو پروژه‌های قدیمی و کم‌مصرف، Gemini API رو فعال کرده، service account ساخته و بهشون نقش‌هایی مثل roles/ml.admin و roles/mcp.toolUser داده. بعد سیاست سازمانی iam.allowedPolicyMemberDomains رو پاک کرده، یعنی همون قانونی که اجازه می‌ده فقط اکانت‌های دامنه‌ی شرکت تو IAM عضو بشن. با برداشته شدن این قفل، اکانت‌های Gmail خود مهاجم به حساب پرداخت اضافه شدن و نقش roles/billing.admin گرفتن که کنترل کامل حساب پرداخت رو می‌ده.

قدم اصلی این بوده که مهاجم پروژه‌های GCP خودش رو مستقیم به حساب پرداخت قربانی وصل کرده. یعنی تمام درخواست‌های API تو پروژه‌ی مهاجم اجرا می‌شن ولی پولش از حساب قربانی کم می‌شه. چون پرامپت‌ها و جواب‌های مدل تو پروژه‌ی خارجی هستن، لاگ‌های داخلی قربانی هیچ چیزی از محتوای این مصرف نشون نمی‌دن. طبق گزارش، ظرف ۲۴ تا ۴۸ ساعت ده‌ها تا صدها هزار دلار هزینه‌ی Gemini ثبت شده.

برای پنهان موندن، بعد از لاگین اول، فعالیت مهاجم از IPهایی انجام می‌شده که تو کشور دفتر مرکزی قربانی بودن، حتی اگه با محل واقعی کاربر نمی‌خوند. مهاجم همچنین ادمین‌های پرداخت قبلی رو به نقش فقط‌خواندنی پایین آورده تا نتونن از کنسول دسترسی‌ها رو پس بگیرن یا پروژه‌های مشکوک رو جدا کنن.

Wiz پیشنهاد می‌کنه لاگ‌های Google Workspace، GCP Admin Activity و Cloud Billing رو بگردید. دنبال اکانت‌های IAM با دامنه‌ی بیرونی مثل gmail.com باشید، تغییرات allowedPolicyMemberDomains و نقش‌های ادمین پرداخت رو چک کنید، فعال شدن غیرمنتظره‌ی Gemini API و ساخت service account و کلید تو پروژه‌های قدیمی رو بررسی کنید و برای هزینه‌ی API سقف بودجه بذارید. به گفته‌ی Wiz، نباید فقط به هوشیاری کاربر تکیه کرد، چون گوگل اون لاگین مشکوک رو فلگ کرده بود ولی هشدارش فقط به ایمیل کاربر رفته بود.

نکات کلیدی:

• ورود اولیه با فیشینگ از طریق تبلیغات گوگل برای کلمه‌های «google cloud» و «gcp» و دزدیدن رمز و کد MFA بوده.
• مهاجم سیاست iam.allowedPolicyMemberDomains رو پاک کرده تا اکانت‌های Gmail خودش رو اضافه کنه.
• نقش roles/billing.admin اجازه‌ی وصل کردن پروژه‌های خارجی به حساب پرداخت رو می‌ده.
• هزینه‌ی غیرمجاز Gemini API ظرف ۲۴ تا ۴۸ ساعت به ده‌ها تا صدها هزار دلار رسیده.
• محتوای پرامپت‌ها و خروجی‌ها چون تو پروژه‌ی مهاجمه، تو لاگ‌های قربانی دیده نمی‌شه.
• ادمین‌های پرداخت قبلی به نقش فقط‌خواندنی تنزل داده شدن.