해커들이 애플 macOS의 화면 공유(Screen Sharing) 기능 취약점을 노려 외부에 노출된 맥에서 루트(root) 권한을 탈취한 뒤, 모네로 (XMR) 채굴 프로그램을 설치하는 공격이 확인됐다.
핵심 내용
- 네덜란드 당국은 화면 공유 포트(5900)를 개방한 맥을 대상으로 CVE-2026-65400 취약점의 실제 악용 사례를 다수 포착했다.
- 공격자는 루트 권한을 확보한 뒤 모네로 채굴기를 설치했으며, 현재 공개 PoC(개념증명) 코드까지 유통되고 있다.
- 애플은 macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9에서 해당 인증 취약점을 이미 패치했다.
macOS를 노린 모네로 채굴 공격
네덜란드 국가사이버안보기구(NCSC)는 8월 12일 발표를 통해, 여러 대의 맥에서 동일한 취약점이 악용된 정황을 확인했다고 밝혔다. 모든 피해 사례는 화면 공유 기능을 기본 포트인 5900번을 통해 외부에 노출한 상태였다.
이번 취약점은 CVE-2026-65400으로 식별되며, CVSS 기준 심각도 점수 7.1을 부여받았다. 화면 공유 인증 과정의 상태 관리 로직이 부실해, 정상적인 비밀번호 입력 절차 없이도 인증이 우회되는 구조적 결함이 원인이다.
애플은 인증 검증 절차를 강화하고, 8월 6일 macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9에 보안 패치를 배포했다. NCSC는 이미 공개 PoC 코드가 돌아다니고 있어, 여전히 화면 공유 포트를 인터넷에 개방한 채 패치를 적용하지 않은 맥은 손쉽게 공격 표적이 될 수 있다고 경고했다.
함께 읽기: 비탈릭 부테린, 128KB 이더리움 결제 증명에 비트코인 모델 지지
모네로 중심의 크립토재킹 위험
이번 공격은 전형적인 ‘크립토재킹(cryptojacking)’ 유형이다. 공격자가 남의 컴퓨팅 자원을 몰래 활용해 암호화폐를 채굴하고, 그 보상은 전부 공격자가 가져가는 방식이다. 전기요금과 성능 저하는 고스란히 피해자 부담이다.
모네로는 높은 익명성 때문에 이 같은 불법 채굴에 꾸준히 악용돼 왔다. 거래 내역이 공개 원장에 투명하게 드러나는 타 블록체인과 달리, 자금 흐름을 추적하기 훨씬 까다롭기 때문이다.
공격자는 장기간 장악한 하드웨어를 통해 모네로를 지속적으로 채굴하고, 그 수익이 수사망에서 비교적 자유롭게 흐르도록 할 수 있다. 이는 감염된 기기에서 뽑아낼 수 있는 경제적 가치를 극대화하는 수단이다.
보안업체 **비트디펜더(Bitdefender)**는 최근 불법 복제판 게임 ‘The Odyssey’에 Lumma Stealer 악성코드가 숨어 있는 사례를 공개했다. 다른 사례에선 가짜 CAPTCHA 페이지, SparkKitty 모바일 앱, 게임 테마 월페이퍼, 악성 Python 패키지 등이 침투 경로로 악용됐다. 일부 공격은 악성 페이지 트래픽을 BNB 체인으로 우회시키는 방식도 사용했다. 수법은 계속 진화하는 중이다.
크립토재킹은 직접 지갑에서 암호화폐를 훔치는 대신, 다수의 기기를 장악해 채굴 작업을 분산시키는 구조를 취하기 때문에 특히 모네로 중심으로 반복돼 왔다. 진입 경로는 다양하지만, 기본 모델은 같다. 하드웨어를 장악하고, 그 연산·전력 자원을 소모해 모네로를 채굴한 뒤, 보상은 공격자가 지정한 지갑으로 돌리는 방식이다.
