Hackers estão a explorar uma vulnerabilidade no recurso de Compartilhamento de Tela do macOS, da Apple, para obter acesso root em Macs expostos e instalar software de mineração de Monero (XMR).
Pontos-chave:
- As autoridades holandesas detetaram exploração ativa da CVE-2026-65400 em Macs com o Compartilhamento de Tela exposto na porta 5900.
- Os atacantes obtiveram privilégios de root e instalaram mineradores de Monero; código de prova de conceito já está disponível publicamente.
- A Apple corrigiu a falha de autenticação no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9.
Ataques de Monero no macOS
O Centro Nacional de Cibersegurança dos Países Baixos (NCSC) informou em 12 de agosto que recebeu vários relatos de exploração ativa em múltiplos Macs. Em todos os casos, os atacantes conseguiram privilégios de root e instalaram software de mineração de Monero. As máquinas vulneráveis estavam acessíveis pela porta 5900.
A vulnerabilidade, catalogada como CVE-2026-65400, tem uma pontuação de gravidade CVSS de 7,1 e resulta de uma gestão incorreta de estados durante o processo de autenticação do Compartilhamento de Tela. Na prática, não era necessária qualquer palavra-passe válida.
A Apple reforçou os mecanismos de validação e publicou correções a 6 de agosto para o macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. O NCSC acrescenta que já circula código de prova de conceito, o que reduz a barreira de entrada para novos atacantes que procurem sistemas ainda expostos com o Compartilhamento de Tela ligado à internet. Macs não atualizados continuam em risco.
Também leia: Vitalik Buterin apoia modelo do Bitcoin para comprovativos de pagamento Ethereum de 128 KB
O risco de cryptojacking com Monero
A campanha tem características típicas de cryptojacking: os atacantes apropriam‑se de recursos computacionais de terceiros para minerar criptomoedas, ficando com todas as recompensas, enquanto o custo — energia, desgaste de hardware e degradação de desempenho — recai sobre a vítima.
O Monero continua a ser especialmente atrativo para este tipo de abuso porque as suas funcionalidades de privacidade tornam as transferências muito mais difíceis de rastrear do que operações em blockchains transparentes.
Isso permite aos atacantes transformar o acesso continuado a hardware comprometido em receita de mineração cujo rasto financeiro é mais complicado de seguir.
A Bitdefender detetou recentemente cópias pirateadas de “The Odyssey” carregando o ladrão de informação Lumma Stealer, enquanto outras campanhas documentadas recorreram a páginas falsas de CAPTCHA, aplicações móveis SparkKitty, papéis de parede com temas de jogos e pacotes Python comprometidos. Em alguns ataques, páginas maliciosas foram encaminhadas através da BNB Chain. As táticas evoluem constantemente.
O cryptojacking tem recaído repetidamente sobre Monero porque os operadores podem distribuir a mineração por um grande número de dispositivos sequestrados sem precisar de roubar diretamente fundos da carteira da vítima. O vetor de entrada é diferente, mas o modelo básico mantém‑se: comprometer o hardware, consumir os seus recursos e direcionar as recompensas da mineração para endereços controlados pelo atacante.
Leia a seguir: OpenAI terá desmantelado a sua terceira equipa de segurança antes de uma possível oferta pública
