🌐 Contexte

Publié le 2 novembre 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, ce rapport documente plusieurs incidents de LLMJacking investigués en 2026. Cette tactique consiste à détourner l’accès d’entreprises à des Large Language Models (LLM) hébergés dans le cloud pour en monétiser les ressources. Les victimes sont situées en Amérique du Nord, Amérique du Sud et Asie-Pacifique, dans les secteurs financier, retail, technologique et transport.

💰 Impact financier

Contrairement au cryptojacking, le LLMJacking peut générer des pics de facturation frauduleuse dépassant 100 000 USD en une seule journée, avec des charges cumulées atteignant 1 million USD dans certaines organisations avant révocation des accès.

🔓 Vecteurs d’accès initial

Les principaux vecteurs d’accès initial identifiés sont :

  • Endpoints LLM publiquement exposés (ex : Ollama) ciblés par des scripts automatisés testant /api/create
  • Tokens d’identité cloud volés ou exposés : clés IAM, clés de Service Account, GitHub Personal Access Tokens (PATs), tokens de session actifs
  • Clés API LLM exposées dans des dépôts GitHub publics, validées via des requêtes minimales (max_tokens=1) pour éviter la détection
  • Page de session hijacking imitant un portail applicatif légitime pour voler des tokens JSON bruts (UNC6993)
  • Exploitation de vulnérabilité web dans un package conteneurisé combinée à un PAT volé

🔄 Mouvement latéral et persistance

Après l’accès initial, les acteurs :

  • Énumèrent les services cloud, dépôts de code et datastores pour collecter des credentials supplémentaires
  • Clonent des codebases sensibles à la recherche de secrets codés en dur
  • Exploitent des privilèges de création de tokens pour générer des credentials temporaires à hauts privilèges
  • Créent des comptes IAM et de service non autorisés avec droits administratifs complets
  • Injectent des clés SSH dans les métadonnées d’instances de calcul
  • Exploitent CVE-2026-40217 (vulnérabilité de rebind d’ID utilisateur dans l’endpoint /key/regenerate de LiteLLM) pour élever des Virtual Keys standard en credentials PROXY_ADMIN

🤖 Abus des LLM

Les acteurs monétisent l’accès via :

  • Génération de clés API supplémentaires et activation de services managés (ex : UNC6993 accumulant >100 000 USD de charges)
  • Stratégie “burn and rotate” : création et suppression cyclique de comptes de service pour contourner les limites de débit
  • Déploiement de proxies inverses et de workloads agentiques (framework Manus, Node.js custom, LiteLLM gateways)
  • LLM Mixers : infrastructures de routage illicites agrégeant et revendant l’accès LLM volé à des abonnés underground
  • Utilisation d’outils open-source : new-api et gcli2api pour agréger les clés volées
  • Service jet-night.com ayant généré près d’1 million USD de coûts en tokens pour une victime via >500 000 appels API en moins de 8 heures
  • Infrastructure ai-relay sur des domaines lookalike alimentant l’écosystème de revente newapi[.]pro

🎭 Acteurs identifiés

  • UNC6993 : cluster financièrement motivé, utilise des pages de session hijacking, new-api, gcli2api, vend l’accès via des storefronts underground
  • Cluster opérant jet-night.com : service de routage de tokens basé sur des clés volées
  • Cluster déployant D1337-KAIROS : persona sous laquelle sont rebranded des LLM frontier via des proxies custom

📋 Type d’article

Rapport d’analyse de menace et de threat intelligence publié par Mandiant/GTIG, visant à documenter le cycle d’attaque LLMJacking, fournir des IOCs et des règles de détection pour les défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • UNC6993 (cybercriminal) —

TTP

  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1552.004 — Unsecured Credentials: Private Keys (Credential Access)
  • T1078 — Valid Accounts (Initial Access)
  • T1078.004 — Valid Accounts: Cloud Accounts (Initial Access)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1530 — Data from Cloud Storage (Collection)
  • T1213 — Data from Information Repositories (Collection)
  • T1098 — Account Manipulation (Persistence)
  • T1136 — Create Account (Persistence)
  • T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1087 — Account Discovery (Discovery)
  • T1526 — Cloud Service Discovery (Discovery)
  • T1562.008 — Impair Defenses: Disable or Modify Cloud Logs (Defense Evasion)
  • T1090 — Proxy (Command and Control)
  • T1496 — Resource Hijacking (Impact)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1589.002 — Gather Victim Identity Information: Email Addresses (Reconnaissance)
  • T1602 — Data from Configuration Repository (Collection)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • new-api (tool)
  • gcli2api (tool)
  • LiteLLM (tool)
  • Manus (framework)
  • SearXNG (tool)
  • ai-relay (tool)

🟢 Indice de vérification factuelle : 92/100 (haute)

  • ✅ cloud.google.com — source reconnue (liste interne) (20pts)
  • ✅ 23976 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 3 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/2 IOCs confirmés (ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 19 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UNC6993 (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • jet-night.com (domain) → VT (11/92 détections)
  • newapi.pro (domain) → VT (6/92 détections)

🔗 Source originale : https://cloud.google.com/blog/topics/threat-intelligence/llmjacking-monetizing-compromised-cloud-models?hl=en