Saldırganlar, Apple’ın macOS Ekran Paylaşımı bileşenindeki bir zafiyetten yararlanarak internete açık Mac’lerde root yetkisi elde ediyor ve Monero (XMR) madencilik yazılımı kuruyor.
Öne çıkanlar:
- Hollandalı yetkililer, Ekran Paylaşımı’nı 5900 numaralı port üzerinden dış dünyaya açan Mac’lerde CVE-2026-65400 zafiyetinin aktif biçimde istismar edildiğini tespit etti.
- Saldırganlar, sistemde root yetkisi kazanarak Monero madencileri yüklüyor; istismar için herkese açık proof‑of‑concept kodu da artık ortalıkta dolaşıyor.
- Apple, kimlik doğrulama açığını macOS Tahoe 26.6.1, Sequoia 15.7.9 ve Sonoma 14.8.9 sürümleriyle yamadı.
macOS’te Monero saldırısı
Hollanda Ulusal Siber Güvenlik Merkezi (NCSC), 12 Ağustos tarihli açıklamasında, birden fazla Mac’te zafiyetin aktif olarak istismar edildiğine ilişkin raporlar aldığını duyurdu. Kuruma göre saldırganlar, bu sistemlerde root ayrıcalığı elde etti ve Monero madenciliği yapan yazılımlar kurdu. Tüm vakalarda Ekran Paylaşımı, 5900 numaralı port üzerinden internete açıktı.
CVE-2026-65400 olarak izlenen açıklık, CVSS ölçeğinde 7,1’lik önem derecesine sahip ve Ekran Paylaşımı kimlik doğrulama sürecindeki hatalı durum yönetiminden kaynaklanıyor. Saldırganların sisteme erişmek için geçerli bir parola girmesi gerekmiyordu.
Apple, doğrulama kontrollerini sıkılaştırdı ve 6 Ağustos’ta macOS Tahoe 26.6.1, Sequoia 15.7.9 ve Sonoma 14.8.9 sürümleriyle ilgili yamaları yayımladı. NCSC, zafiyet için hazırlanan herkese açık proof‑of‑concept kodun da internet üzerinde dolaştığını, bunun da hâlâ Ekran Paylaşımı’nı internete açık tutan sistemleri hedef almak isteyen saldırganlar için eşiği düşürdüğünü vurguladı. Güncellenmemiş Mac’ler risk altında olmaya devam ediyor.
Ayrıca bkz.: Vitalik Buterin 128 KB Ethereum ödeme kanıtları için Bitcoin modeline destek veriyor
Monero ile kripto madenciliği (cryptojacking) riski
Söz konusu kampanya tipik bir “cryptojacking” operasyonu: Saldırganlar, kendi donanımları yerine başkalarının bilgi işlem kaynaklarını kullanarak kripto para kazıyor, üretilen ödüllerin tamamını da ele geçirilmiş sistemlerden kendilerine aktarıyor. Donanım, elektrik ve performans maliyeti ise kurbanın üzerinde kalıyor.
Monero, bu tür kötüye kullanımlar için cazibesini koruyor; zira güçlü mahremiyet özellikleri, işlemlerin, şeffaf blok zincirlerine kıyasla izlenmesini zorlaştırıyor.
Böylece saldırganlar, ele geçirdikleri donanımlara uzun süreli erişimi, iz sürmesi daha güç madencilik gelirlerine dönüştürebiliyor.
Bitdefender kısa süre önce “The Odyssey”in korsan kopyalarına gizlenmiş Lumma Stealer zararlısını ortaya çıkarmıştı. Diğer raporlanan kampanyalarda ise sahte CAPTCHA sayfaları, SparkKitty mobil uygulamaları, oyun temalı duvar kâğıtları ve ele geçirilmiş Python paketleri kullanıldı. Bazı saldırılar, kötü amaçlı sayfaları BNB Chain üzerinden yönlendirdi. Yöntemler sürekli evriliyor.
Cryptojacking kampanyaları uzun süredir Monero’yu merkeze alıyor; çünkü saldırganlar, kurbanın cüzdanından doğrudan varlık çalmadan, madenciliği çok sayıda ele geçirilmiş cihaza yayabiliyor. Giriş noktası farklı olsa da iş modeli aynı kalıyor: Donanımı ele geçir, kaynaklarını tüket ve üretilen madencilik ödüllerini saldırganın kontrolündeki adreslere yönlendir.
Sırada Oku: OpenAI’nin halka arz öncesinde üçüncü güvenlik ekibini dağıttığı iddia edildi
