Hacker stanno sfruttando una vulnerabilità nel servizio di Screen Sharing di Apple su macOS per ottenere accesso root ai Mac esposti in rete e installare software di mining di Monero (XMR).
Punti chiave:
- Le autorità olandesi hanno rilevato lo sfruttamento attivo di CVE-2026-65400 su Mac che espongono Screen Sharing tramite la porta 5900.
- Gli attaccanti ottengono privilegi di root e installano miner di Monero; il codice di exploit “proof-of-concept” è ormai di pubblico dominio.
- Apple ha corretto la falla di autenticazione in macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Attacco Monero su macOS
Il National Cyber Security Center dei Paesi Bassi ha reso noto il 12 agosto di aver ricevuto segnalazioni di sfruttamento attivo della falla su numerosi Mac, con attaccanti in grado di ottenere privilegi di root e installare software di mining di Monero. Tutte le macchine compromesse esponevano Screen Sharing sulla porta 5900.
La vulnerabilità, catalogata come CVE-2026-65400 e con punteggio di gravità CVSS 7,1, deriva da una gestione errata dello stato durante il processo di autenticazione di Screen Sharing. In pratica, non era richiesto alcun password valido per ottenere l’accesso.
Apple ha irrigidito i controlli di validazione e distribuito le patch il 6 agosto per macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Il NCSC ha inoltre segnalato che è disponibile in rete codice “proof‑of‑concept” funzionante, che abbassa sensibilmente la barriera d’ingresso per gli attaccanti che prendono di mira sistemi che continuano a esporre Screen Sharing su internet. I Mac non aggiornati restano esposti al rischio.
Da leggere anche: Vitalik Buterin appoggia il modello Bitcoin per prove di pagamento Ethereum da 128 KB
Rischio di cryptojacking con Monero
La campagna rientra nel classico schema del cryptojacking: gli attaccanti sfruttano le risorse di calcolo di terzi per minare criptovalute, intascando tutti i proventi generati dall’hardware compromesso. Il costo energetico e di usura ricade interamente sulla vittima.
Monero resta una delle criptovalute più appetibili per questo tipo di abuso perché le sue funzioni di privacy rendono le transazioni molto più difficili da tracciare rispetto a quelle su blockchain trasparenti.
In questo modo, chi controlla a lungo hardware compromesso può trasformare tale accesso in flussi di mining relativamente opachi e meno rintracciabili.
Di recente Bitdefender ha individuato copie pirata di “The Odyssey” infettate con il malware Lumma Stealer, mentre altre campagne segnalate hanno sfruttato finte pagine CAPTCHA, app mobili SparkKitty, wallpaper a tema gaming e pacchetti Python compromessi. In alcuni casi il traffico malevolo è stato instradato attraverso BNB Chain. I vettori di attacco continuano ad evolversi.
Il cryptojacking ruota spesso intorno a Monero perché gli attaccanti possono distribuire il mining su una miriade di dispositivi “dirottati” senza dover svuotare direttamente il wallet della vittima. Cambia il punto d’ingresso, non il modello: compromettere l’hardware, consumarne le risorse e convogliare le ricompense del mining verso un indirizzo controllato dagli aggressori.
Prossimo articolo: OpenAI avrebbe sciolto il suo terzo team di sicurezza in vista di una possibile quotazione in Borsa
