Hackers estão explorando uma vulnerabilidade no recurso de Compartilhamento de Tela do macOS, da Apple, para obter acesso root em Macs expostos e instalar software de mineração de Monero (XMR).
Pontos-chave:
- Autoridades holandesas identificaram exploração ativa da CVE-2026-65400 em Macs com Compartilhamento de Tela exposto pela porta 5900.
- Atacantes assumem privilégios de root e instalam mineradores de Monero; código de prova de conceito já está disponível publicamente.
- A Apple corrigiu a falha de autenticação no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Ataque de Monero no macOS
O Centro Nacional de Segurança Cibernética da Holanda (NCSC) informou em 12 de agosto que recebeu relatos de exploração ativa da falha em vários Macs, com invasores obtendo privilégios de root e instalando software de mineração de Monero. Em todos os casos, as máquinas estavam expostas pela porta 5900.
A vulnerabilidade, catalogada como CVE-2026-65400, tem pontuação de 7,1 no CVSS e decorre de uma falha no gerenciamento de estado durante o processo de autenticação do Compartilhamento de Tela. Na prática, não era necessária senha válida para acesso.
A Apple reforçou as verificações de validação e liberou correções em 6 de agosto para o macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. O NCSC também alertou que código de prova de conceito está circulando publicamente, o que reduz a barreira de entrada para atacantes interessados em sistemas que ainda deixam o Compartilhamento de Tela exposto à internet. Macs sem patch continuam vulneráveis.
Veja também: Vitalik Buterin apoia modelo do Bitcoin para comprovantes de pagamento Ethereum de 128 KB
Risco de criptojacking com Monero
A campanha caracteriza-se como uma operação de criptojacking, em que criminosos utilizam os recursos computacionais de terceiros para minerar criptomoedas, apropriando-se integralmente das recompensas geradas pelo hardware comprometido. Os custos — energia, desgaste e lentidão — ficam com a vítima.
O Monero segue como alvo preferencial nesse tipo de abuso porque seus recursos de privacidade tornam as transações bem mais difíceis de rastrear que a atividade em blockchains transparentes.
Com isso, atacantes conseguem transformar acesso prolongado a máquinas comprometidas em receita de mineração com maior grau de opacidade, dificultando o acompanhamento dos fluxos de valor.
A Bitdefender identificou recentemente cópias piratas de “The Odyssey” distribuindo o ladrão de dados Lumma Stealer, enquanto outras campanhas usaram páginas falsas de CAPTCHA, apps móveis SparkKitty, papéis de parede com tema de games e pacotes Python comprometidos. Em alguns casos, páginas maliciosas foram roteadas pela BNB Chain. As táticas mudam o tempo todo.
O criptojacking tem repetidamente gravitado em torno do Monero porque permite espalhar a mineração por uma rede de dispositivos sequestrados, sem a necessidade de esvaziar diretamente a carteira da vítima. O ponto de entrada muda, mas o modelo permanece: comprometer o hardware, consumir seus recursos e redirecionar as recompensas de mineração para endereços controlados pelos atacantes.
Leia a seguir: OpenAI teria encerrado sua 3ª equipe de segurança antes de possível IPO
