Hacker nutzen eine Schwachstelle in der Bildschirmfreigabe von Apple macOS aus, um Root-Rechte auf frei im Netz erreichbaren Macs zu erlangen und darauf Mining-Software für Monero (XMR) zu installieren.
Wichtigste Punkte:
- Die niederländischen Behörden melden aktive Ausnutzung von CVE-2026-65400 auf Macs, die Bildschirmfreigabe über Port 5900 ins Internet öffnen.
- Angreifer verschaffen sich Root-Zugriff und installieren Monero-Miner; öffentlich zugänglicher Proof-of-Concept-Code ist bereits verfügbar.
- Apple hat die Authentifizierungslücke in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 geschlossen.
Angriffswelle auf macOS mit Monero-Mining
Das Nationale Cyber-Sicherheitszentrum der Niederlande (NCSC) teilte am 12. August mit, dass es Berichte über eine laufende Angriffskampagne auf zahlreiche Macs erhalten hat. Dabei erlangen Angreifer Root-Rechte und installieren Mining-Software für Monero. Gemeinsam ist allen betroffenen Systemen, dass die Bildschirmfreigabe über Port 5900 direkt aus dem Internet erreichbar war.
Die Schwachstelle, geführt unter CVE-2026-65400, weist einen CVSS-Schweregrad von 7,1 auf und geht auf eine fehlerhafte Zustandsverwaltung im Authentifizierungsprozess der Bildschirmfreigabe zurück. Ein gültiges Passwort war in der Angriffskette nicht erforderlich.
Apple hat die Prüfmechanismen im Authentifizierungsprozess verschärft und am 6. August Sicherheitsupdates für macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9 veröffentlicht. Nach Angaben des NCSC kursiert inzwischen öffentlich verfügbarer Proof-of-Concept-Code, was die Einstiegshürden für Angreifer deutlich senkt – insbesondere für Systeme, die Bildschirmfreigabe weiterhin ungeschützt ins Internet exponieren. Nicht gepatchte Macs bleiben akut gefährdet.
Auch interessant: Vitalik Buterin unterstützt Bitcoin-Modell für 128 KB Ethereum-Zahlungsnachweise
Monero und das wachsende Cryptojacking-Risiko
Bei der Kampagne handelt sich um klassisches Cryptojacking: Angreifer missbrauchen fremde Rechenleistung, um Kryptowährungen zu schürfen, behalten aber sämtliche Erträge aus dem kompromittierten System. Strom- und Hardwarekosten bleiben beim Opfer.
Monero ist für solche Angriffe besonders attraktiv, weil seine starken Datenschutzfunktionen Transfers schwerer nachverfolgbar machen als Transaktionen auf transparenten Blockchains.
So können Angreifer langfristige Kontrolle über kompromittierte Hardware direkt in schwer nachverfolgbare Mining-Erträge umwandeln.
Bitdefender entdeckte jüngst etwa raubkopierte Versionen von „The Odyssey“, in denen der Informationsdieb Lumma Stealer versteckt war. Andere Kampagnen setzten auf gefälschte CAPTCHA-Seiten, SparkKitty-Mobile-Apps, Gaming-Wallpaper oder manipulierte Python-Pakete. Teilweise wurden bösartige Webseiten zusätzlich über die BNB Chain geleitet. Die Angriffsvektoren entwickeln sich laufend weiter.
Cryptojacking-Kampagnen fokussieren sich immer wieder auf Monero, weil Angreifer das Mining unauffällig auf eine große Zahl gekaperter Geräte verteilen können – ohne direkt Gelder aus der Wallet des Opfers zu stehlen. Die Angriffspunkte unterscheiden sich, das Grundmuster bleibt gleich: Systeme kompromittieren, deren Ressourcen ausnutzen und sämtliche Mining-Erlöse an eine vom Angreifer kontrollierte Adresse umleiten.
Lesen Sie weiter: OpenAI soll drittes Sicherheitsteam vor geplanter Börsennotierung aufgelöst haben
