Des pirates informatiques exploitent une vulnérabilité dans la fonctionnalité Partage d’écran de macOS d’Apple pour obtenir des accès root sur des Mac exposés et y déployer des logiciels de minage de Monero (XMR).
Points clés :
- Les autorités néerlandaises ont observé l’exploitation active de la faille CVE-2026-65400 sur des Mac exposant Partage d’écran via le port 5900.
- Les attaquants obtiennent des privilèges root et installent des mineurs de Monero, alors qu’un code d’exploitation public est désormais disponible.
- Apple a corrigé la faille d’authentification dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9.
Une campagne Monero visant macOS
Le National Cyber Security Center (NCSC) des Pays-Bas a indiqué le 12 août, dans un avis officiel, avoir reçu plusieurs signalements d’exploitation active de cette vulnérabilité sur différents Mac. Dans tous les cas, les machines étaient accessibles via le port 5900, avec des attaquants parvenant à obtenir les privilèges root et à installer des logiciels de minage de Monero.
Répertoriée sous l’identifiant CVE-2026-65400, la faille affiche un score de sévérité CVSS de 7,1. Elle provient d’une mauvaise gestion d’état durant le processus d’authentification de Partage d’écran, permettant de contourner complètement la demande de mot de passe.
Apple a renforcé les contrôles de validation et publié des correctifs le 6 août pour macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9. Le NCSC précise qu’un code d’attaque de type « preuve de concept » circule déjà publiquement, ce qui abaisse fortement la barrière d’entrée pour les groupes malveillants visant des systèmes qui exposent encore Partage d’écran sur Internet. Les Mac non mis à jour restent vulnérables.
À lire aussi : Vitalik Buterin soutient un modèle Bitcoin pour des preuves de paiement Ethereum de 128 Ko
L’essor du cryptojacking Monero
Cette campagne relève du cryptojacking : les attaquants détournent la puissance de calcul de machines qui ne leur appartiennent pas pour miner des cryptomonnaies, tout en conservant l’intégralité des récompenses. Les coûts (énergie, usure matérielle, perte de performances) sont supportés par la victime.
Monero reste particulièrement prisé pour ce type d’opérations, ses fonctions de confidentialité rendant les flux beaucoup plus difficiles à tracer que sur des blockchains transparentes. Pour les groupes malveillants, cela permet de transformer un accès prolongé à des machines compromises en revenus de minage plus discrets et donc plus difficiles à relier à une campagne donnée.
Bitdefender a récemment repéré des copies piratées de « The Odyssey » véhiculant le voleur d’informations Lumma Stealer. D’autres campagnes signalées s’appuient sur de fausses pages CAPTCHA, des applications mobiles SparkKitty, des fonds d’écran sur le thème du jeu vidéo ou encore des paquets Python compromis. Certaines attaques redirigent en outre des pages malveillantes via BNB Chain. Les vecteurs évoluent en permanence.
Historiquement, le cryptojacking s’est souvent concentré sur Monero, car il permet de répartir le minage sur un vaste parc de machines détournées sans avoir à vider directement les portefeuilles des victimes. Le point d’entrée diffère, mais le modèle économique reste identique : compromettre le matériel, consommer ses ressources et rediriger les gains de minage vers une adresse contrôlée par l’attaquant.
À suivre : OpenAI aurait dissous sa 3e équipe de sécurité avant une introduction en Bourse
