해커들이 애플(Apple) macOS의 스크린 공유(Screen Sharing) 취약점을 악용해 외부에 노출된 맥에 루트(root) 권한으로 침투한 뒤 모네로(Monero) (XMR) 채굴 소프트웨어를 설치한 정황이 드러났다.
핵심 포인트
- 네덜란드 당국은 포트 5900을 통해 스크린 공유 기능을 외부에 개방한 맥에서 CVE-2026-65400 취약점이 실제 악용되는 사례를 포착했다.
- 공격자는 루트 권한을 획득한 후 모네로 채굴기를 설치했으며, 현재 공개 익스플로잇(개념증명) 코드도 유통 중이다.
- 애플은 macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9에서 해당 인증 취약점을 패치했다.
macOS 겨냥 모네로 채굴 공격
네덜란드 국가사이버보안센터(NCSC)는 8월 12일 발표한 자료에서 다수의 맥에서 동일한 공격이 관측됐다고 밝혔다. 모든 기기가 포트 5900을 통해 스크린 공유 기능을 인터넷에 개방한 상태였으며, 공격자들은 루트 권한을 획득한 뒤 모네로 채굴 소프트웨어를 설치한 것으로 파악됐다.
이번 취약점은 CVE-2026-65400으로 분류됐으며, CVSS 기준 심각도 점수는 7.1이다. 문제의 원인은 스크린 공유 인증 과정에서의 상태 관리 오류로, 공격자가 유효한 비밀번호 없이도 인증을 우회할 수 있는 구조였던 것으로 분석된다.
애플은 인증 검증 로직을 강화한 패치를 8월 6일 macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9 버전에 배포했다. NCSC는 해당 취약점을 악용한 공개 개념증명(PoC) 코드가 이미 유통되고 있다며, 여전히 스크린 공유 포트를 노출한 미패치 맥은 공격에 취약한 상태라고 경고했다.
관련 기사: 비탈릭 부테린, 128KB 이더리움 결제 증명에 비트코인 모델 지지
모네로 기반 크립토재킹 리스크
이번 공격은 전형적인 ‘크립토재킹(cryptojacking)’ 사례다. 공격자는 피해자의 컴퓨팅 자원을 무단으로 사용해 암호화폐를 채굴하고, 채굴 보상은 전부 자신이 가져간다. 전력 비용과 하드웨어 손상 등 모든 부담은 피해자에게 전가된다.
모네로는 이러한 불법 채굴에 꾸준히 악용돼 왔다. 거래 추적이 상대적으로 용이한 투명 블록체인과 달리, 모네로는 프라이버시 기능을 통해 송수신 내역을 숨기기 때문에 자금 흐름을 추적하기가 훨씬 어렵다.
공격자 입장에서는, 장기간 장악한 기기에서 발생하는 채굴 수익을 보다 추적하기 힘든 자산으로 전환할 수 있는 수단이 되는 셈이다.
또 다른 위협 인텔리전스에 따르면, **비트디펜더(Bitdefender)**는 최근 ‘The Odyssey’ 불법 복제본에서 정보 탈취 악성코드인 Lumma Stealer를 발견했다. 이 밖에도 가짜 CAPTCHA 페이지, SparkKitty 모바일 앱, 게임 테마 배경화면, 악성 파이썬 패키지 등 다양한 공격 경로가 보고되고 있다. 일부 캠페인은 악성 페이지 트래픽을 BNB 체인으로 우회시키는 방식까지 동원한다. 공격 기법은 계속 진화하는 중이다.
크립토재킹 공격은 일관되게 모네로를 중심에 두고 전개돼 왔다. 공격자는 피해자의 지갑에서 직접 자금을 탈취하는 대신, 다수의 기기를 감염시켜 분산 채굴을 수행한다. 진입 경로만 다를 뿐 ‘하드웨어를 장악하고, 자원을 소모시키며, 채굴 보상을 공격자 주소로 전송한다’는 기본 구조는 변치 않는다.
다음 읽을거리: OpenAI, 상장 앞두고 3번째 안전팀 해체했다는 보도
