CISA, Monero 마이닝 공격 후 macOS Screen Sharing 결함 심각도를 9.8로 재평가

CISA는 금요일 macOS Screen Sharing 취약점의 심각도 점수를 10점 만점에 9.8의 치명적인 수준으로 상향 조정했습니다.

네덜란드 조사관들은 인터넷에 노출된 Mac에 대한 루트 권한을 획득하고 Monero 마이닝 소프트웨어를 조용히 로드한 공격자를 보고했습니다.

7.1에서 9.8로 일주일 만에

Apple이 수정 프로그램을 출시했을 때, CISA는 National Vulnerability Database에서 CVE-2026-65400으로 추적된 이 버그를 7.1로 나열했습니다. 기관은 이를 CVSS 척도 상단에 가까운 9.8로 변경했습니다.

네덜란드 국가 사이버 보안 센터도 유사한 접근 방식을 취했습니다. 8월 12일 업데이트는 초기 권고를 수정하여 공개 개념 증명 코드가 유통되고 있으며 능동적인 남용이 확인되었다고 밝혔습니다.

금요일 기준, 이 결함은 사이버 보안 및 인프라 보안 기관이 유지하는 알려진 공격 취약점의 연방 카탈로그에 포함되지 않았습니다. 네덜란드 기관과의 Apple의 자체 CVE 기록에는 여전히 이전의 7.1 등급이 남아 있습니다.

이 취약점은 화면 공유(Screen Sharing)의 인증 처리 방식에서 비롯됩니다. 보안 기업 헌트리스(Huntress)는 이 문제를 접근 권한 부여 전에 사용자의 신원을 확인하는 데 사용되는 프로토콜인 Secure Remote Password(SRP)의 서비스 사용 결함으로 추적했습니다.

헌트리스에 따르면 실제 영향은 맥(Mac)이 외부인이 이미 로그인했다고 인식한다는 것입니다. 이 실패는 비밀번호 검증 이전에 발생하며, 화면 공유 비밀번호를 재설정하거나 삭제해도 이를 차단할 수 없습니다.

헌트리스 연구원 라이언 다우드(Ryan Dowd)는 “모든 지원 macOS 버전에서 Apple의 화면 공유 기능을 활용하는 사용자는 최신 보안 업데이트를 즉시 적용해야 합니다”라고 썼습니다.

Apple은 8월 6일 macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9에 해당 수정 사항을 제공했습니다.

범위 내 수천 대의 임대 맥

NCSC는 피해자 머신이 완전히 침해당했다고 발견했습니다. 연구원들이 조사한 각 사례에서 공격자는 인터넷에 노출된 상태로 유지된 기본 Screen Sharing 포트인 포트 5900을 통해 시스템에 접근했습니다.

그들은 루트(root) 권한으로 승격하여 모네로(XMR) 암호화폐 마이닝 프로그램을 배포했습니다. 네덜란드 당국은 영향을 받은 시스템 수나 용의자 이름을 공개하지 않았습니다.

화면 공유는 기본적으로 비활성화되어 있습니다. 그러나 이는 원격 데이터 센터에서 임대되어 실행되는 ‘베어 메탈(bare-metal)’ 맥(물리적 Apple 하드웨어)을 작업할 때 표준 도구로, 노출의 대부분이 집중되는 환경입니다.

다우드 씨에 따르면 인터넷 스캐닝 도구 Censys를 사용하여 “수천 대의 잠재적으로 취약한 호스트”를 발견했습니다. 헌트리스에 따르면 많은 수가 호스팅 서비스에서 시간 단위로 임대된 머신입니다.

Cryptopolitan 보고에 따르면 Reaper 악성코드는 Script Editor를 하이재킹하여 지갑을 비우고, 가짜 macOS 문제 해결 게시물은 피해자가 악성 Terminal 명령어를 붙여넣도록 유도합니다.

계산력을 탈취하여 코인으로 전환하는 크립토잭킹(Cryptojacking)은 오랫동안 모네로의 주요 활동이었습니다. 전문 장비와 달리 모네로 코인은 일반 CPU에서도 채굴할 수 있으며, 그 거래는 설계상 비공개입니다.

탈취된 맥당 수익은 미미합니다. 월요일 가격 기준 모네로 네트워크가 하루에 생성하는 약 432 XMR의 가치는 약 179,000달러로, 모든 마이닝 풀에 분배되었습니다. 월요일 XMR은 24시간 동안 약 0.9% 상승한 413.47달러에 거래되었습니다.