Hackers estão explorando uma vulnerabilidade no recurso de Compartilhamento de Tela do Apple macOS para obter acesso root em Macs expostos e instalar software de mineração de Monero (XMR).
Principais pontos:
- Autoridades holandesas detectaram a exploração ativa da CVE-2026-65400 em Macs que deixam o Compartilhamento de Tela acessível pela porta 5900.
- Os invasores obtêm acesso root e instalam mineradores de Monero; já existe código de prova de conceito disponível publicamente.
- A Apple corrigiu a falha de autenticação no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Ataque de Monero no macOS
O Centro Nacional de Segurança Cibernética da Holanda (NCSC) informou em 12 de agosto que recebeu relatos de exploração ativa em diversos Macs, nos quais os invasores conseguiam privilégios de root e instalavam software de mineração de Monero. Todos os sistemas comprometidos estavam expostos pela porta 5900.
A vulnerabilidade, catalogada como CVE-2026-65400, possui pontuação de severidade CVSS de 7,1 e decorre de uma falha no gerenciamento de estado durante o processo de autenticação do Compartilhamento de Tela. Em certos cenários, não era exigida senha válida.
A Apple reforçou as verificações de validação e publicou correções em 6 de agosto para o macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. O NCSC também alertou que já circula código de prova de conceito acessível ao público, o que reduz a barreira de entrada para atacantes que buscam sistemas ainda expostos com Compartilhamento de Tela aberto para a internet. Macs sem atualização permanecem vulneráveis.
Veja também: Vitalik Buterin apoia modelo do Bitcoin para comprovantes de pagamento Ethereum de 128 KB
Risco de criptojacking com Monero
A campanha tem perfil de criptojacking: os invasores utilizam a capacidade de processamento de equipamentos de terceiros para minerar criptomoedas, enquanto ficam com todas as recompensas geradas pelo hardware comprometido. O custo — energia, desgaste de máquina e perda de desempenho — recai sobre a vítima.
O Monero continua sendo uma das moedas preferidas nesse tipo de ataque devido aos seus recursos de privacidade, que tornam mais difícil rastrear transações quando comparadas à movimentação em blockchains transparentes.
Isso permite que criminosos transformem o acesso prolongado a máquinas comprometidas em receita constante de mineração, com fluxos de valor mais difíceis de acompanhar por autoridades e empresas de segurança.
A Bitdefender identificou recentemente cópias pirateadas de “The Odyssey” carregando o ladrão de credenciais Lumma Stealer, enquanto outras campanhas já exploraram páginas falsas de CAPTCHA, apps móveis SparkKitty, papéis de parede com tema de games e pacotes Python comprometidos. Em alguns casos, páginas maliciosas foram entregues por meio da BNB Chain. As táticas evoluem o tempo todo.
O criptojacking vem tendo o Monero como alvo recorrente porque permite distribuir a mineração por uma grande quantidade de dispositivos sequestrados sem necessidade de roubar diretamente fundos da carteira da vítima. O vetor de ataque muda, mas o modelo de negócio permanece: comprometer o hardware, consumir seus recursos e redirecionar as recompensas de mineração para endereços controlados pelos invasores.
Leia a seguir: OpenAI teria desfeito sua terceira equipe de segurança antes de oferta pública
