ハッカー集団が、AppleのmacOS「画面共有」機能の脆弱性を突き、インターネットに公開されたMacでroot権限を奪取し、Monero (XMR) のマイニングソフトを密かにインストールしている。
主なポイント
- オランダ当局は、ポート5900で「画面共有」を外部公開しているMacを標的に、CVE-2026-65400の悪用を確認。
- 攻撃者はroot権限を取得しMoneroマイナーを導入。すでに一般公開されたPoC（概念実証）コードも出回っている。
- AppleはmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9で認証の欠陥を修正済み。
macOSを狙うMoneroマイニング攻撃
オランダ国家サイバーセキュリティセンター（NCSC）は8月12日、複数のMacで脆弱性の「実際の悪用」が報告されたと公表した。いずれのケースでも、攻撃者はroot権限を奪い、Moneroのマイニングソフトをインストールしていた。対象となったMacはいずれもポート5900経由で「画面共有」が外部に開放されていた。
この脆弱性はCVE-2026-65400として追跡されており、CVSSスコアは7.1と「高」に分類される。原因は、「画面共有」の認証処理における状態管理の不備で、正しいパスワードを入力しなくても認証が通ってしまう点にあった。
Appleは8月6日、認証時の検証処理を強化し、macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9向けに修正パッチを配信した。NCSCによると、すでに一般公開されたPoCコードが出回っており、「画面共有」をインターネットに公開したままのシステムを狙う攻撃のハードルが大きく下がっているという。パッチ未適用のMacは依然として高いリスクにさらされている。
関連記事: ヴィタリック・ブテリン、Ethereum決済証明にBitcoinモデルを提唱
Moneroを巡るクリプトジャッキングの脅威
今回の一連の攻撃は、他人の計算資源を乗っ取って暗号資産を採掘し、その報酬を攻撃者が独占する「クリプトジャッキング」に当たる。電力代やハードウェアの劣化といったコストはすべて被害者側が負担する形だ。
Moneroがこの種の不正利用で標的になりやすい背景には、高度な匿名性がある。透明性の高いパブリックチェーンとは異なり、取引の追跡が難しいため、不正に乗っ取ったマシンから継続的に採掘した暗号資産を、足の付きにくい形で収益化しやすい。
こうした中、Bitdefenderは最近、違法コピー版の「The Odyssey」に情報窃取マルウェア「Lumma Stealer」が仕込まれていた事例を報告したほか、偽CAPTCHAページやSparkKittyと称するモバイルアプリ、ゲームを装った壁紙、改ざんされたPythonパッケージなど、さまざまな経路での攻撃キャンペーンが確認されている。一部では、悪意あるページの配信にBNB Chainが利用されたケースも報告されており、攻撃手口は絶えず変化している。
クリプトジャッキングの中心的ターゲットは、以前からMoneroだ。理由は、被害者のウォレットから直接資金を盗む必要がなく、多数のデバイスにマイナーをばらまき、それぞれの計算資源を少しずつ搾取するだけで成立するビジネスモデルだからだ。入口となる脆弱性や侵入経路は変わっても、本質的な構図は変わらない。ハードウェアを乗っ取り、そのリソースを消費させ、採掘で得た報酬を攻撃者が管理するアドレスに集約するという点は共通している。
