Hacker stanno sfruttando una vulnerabilità nel servizio di condivisione schermo di Apple su macOS per ottenere accesso root ai Mac esposti in rete e installare software di mining di Monero (XMR).
Punti chiave:
- Le autorità olandesi hanno osservato lo sfruttamento attivo di CVE-2026-65400 su Mac che espongono Screen Sharing tramite la porta 5900.
- Gli aggressori ottengono privilegi di root e installano miner di Monero; è già disponibile anche del codice proof‑of‑concept pubblico.
- Apple ha corretto la falla di autenticazione in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Attacco Monero su macOS
Il National Cyber Security Center dei Paesi Bassi ha dichiarato il 12 agosto di aver ricevuto segnalazioni di sfruttamenti attivi su numerosi Mac: gli aggressori riuscivano a ottenere privilegi di amministratore e a installare software per il mining di Monero. Tutte le macchine coinvolte esponevano il servizio di Screen Sharing sulla porta 5900.
La vulnerabilità, catalogata come CVE-2026-65400, ha un punteggio di gravità CVSS pari a 7,1 ed è legata a una gestione errata dello stato durante il processo di autenticazione di Screen Sharing. In pratica, non era richiesta alcuna password valida per completare l’accesso.
Apple ha rafforzato i controlli di validazione e ha rilasciato le correzioni il 6 agosto per macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Il NCSC ha segnalato inoltre la circolazione di codice proof‑of‑concept pubblico, che abbassa ulteriormente la barriera d’ingresso per gli attaccanti interessati ai sistemi che continuano a esporre Screen Sharing su internet. I Mac non aggiornati restano esposti al rischio.
Da leggere anche: Vitalik Buterin sostiene un modello Bitcoin per prove di pagamento Ethereum da 128 KB
Rischio cryptojacking con Monero
La campagna rientra nello schema del cryptojacking: gli aggressori sfruttano le risorse di calcolo di terzi per minare criptovalute, incassando per sé tutte le ricompense, mentre i costi (e le prestazioni degradate) restano a carico della vittima.
Monero si conferma particolarmente appetibile per questo tipo di abuso, perché le sue funzioni avanzate di privacy rendono più difficile tracciare i trasferimenti rispetto alle blockchain trasparenti.
In questo modo, chi controlla i sistemi compromessi può trasformare l’accesso prolungato all’hardware in flussi di ricavi da mining molto meno tracciabili.
Bitdefender ha individuato di recente copie pirata de “L’Odissea” infettate con Lumma Stealer, mentre altre campagne note hanno usato finte pagine CAPTCHA, app mobili SparkKitty, wallpaper a tema gaming e pacchetti Python compromessi. In alcuni casi le pagine malevole venivano instradate tramite BNB Chain. Le tattiche si evolvono di continuo.
Il cryptojacking ruota spesso attorno a Monero perché consente di distribuire l’attività di mining su una vasta rete di dispositivi violati, senza dover sottrarre direttamente fondi dai wallet delle vittime. Cambia il punto di ingresso, non il modello di base: compromettere l’hardware, consumarne le risorse e convogliare le ricompense da mining verso indirizzi controllati dagli aggressori.
Prossima lettura: OpenAI avrebbe sciolto il suo terzo team sulla sicurezza in vista di una possibile quotazione in Borsa
