CISA는 모네로 채굴 공격 이후 macOS 화면 공유 취약점을 9.8 버전으로 상향 조정했습니다

CISA는 금요일에 macOS 화면 공유 취약점의 심각도 등급을 10점 만점에 9.8점으로 상향 조정했습니다.

네덜란드 수사관들은 공격자들이 인터넷에 노출된 맥 컴퓨터의 루트 권한을 획득하고 몰래 모네로 채굴 소프트웨어를 설치했다고 보고했습니다.

일주일 만에 7.1에서 9.8로

애플이 수정 패치를 배포했을 때, CISA는 CVE-2026-65400으로 trac되는 해당 버그를 국가 취약점 데이터베이스에서 7.1 등급으로 분류했습니다. 이후 CISA는 해당 등급을 CVSS 척도의 최상위 수준인 9.8 등급으로 변경했습니다.

네덜란드 국가 사이버 보안 센터도 비슷한 접근 방식을 취했습니다. 8월 12일 업데이트된 공지에서는 초기 권고 사항을 수정하여 공개된 개념 증명 코드가 유포되고 있으며 실제 악용 사례가 확인되었다고 밝혔습니다.

금요일 현재, 해당 결함은 사이버보안 및 인프라 보안국(CISA)이 관리하는 알려진 공격 취약점 목록에 포함되지 않았습니다. 애플이 네덜란드 보안 기관에 등록한 CVE 기록은 여전히 ​​이전 등급인 7.1을 유지하고 있습니다.

이 취약점은 화면 공유 기능의 인증 방식 때문에 trac합니다. 보안 회사인 헌트레스는 해당 취약점이 사용자의dent을 확인한 후 접근 권한을 부여하는 데 사용되는 프로토콜인 '보안 원격 암호(Secure Remote Password)' 사용 방식의 결함에서 비롯된 것임을 밝혀냈습니다.

헌트리스는 실질적인 영향은 맥이 외부 사용자가 이미 로그인했다고 인식하는 것이라고 말합니다. 오류는 암호 확인 전에 발생합니다. 화면 공유 암호를 재설정하거나 삭제해도 문제가 해결되지는 않습니다.

"지원되는 macOS 버전에서 Apple의 화면 공유 기능을 사용하는 모든 사용자는 최신 보안 업데이트를 즉시 적용해야 합니다."라고 Huntress 연구원 Ryan Dowd는 밝혔습니다.

애플은 8월 6일에 macOS Tahoe 26.6.1, Sequoia 15.7.9, Sonoma 14.8.9 버전에 해당 문제를 해결하는 패치를 배포했습니다.

수만 대의 임대 맥이 범위 내에 있습니다

NCSC 는 피해 시스템들이 완전히 해킹당했음을 발견했습니다. 연구원들이 조사한 모든 사례에서 공격자는 기본 화면 공유 포트인 5900번 포트를 통해 시스템에 접근했는데, 이 포트는 인터넷에 노출된 상태였습니다.

그들은 루트 권한을 획득한 후 모네로(XMR) 암호화폐 채굴 프로그램을 설치했습니다. 네덜란드 당국은 영향을 받은 시스템의 수나 용의자의 이름은 밝히지 않았습니다.

화면 공유는 기본적으로 비활성화되어 있습니다. 하지만 화면 공유는 원격 데이터 센터 내에서 임대하여 사용하는 물리적인 Apple 하드웨어인 "베어메탈" Mac을 다룰 때 표준적으로 사용되는 도구이며, 이러한 데이터 센터는 보안 노출이 집중되는 곳입니다.

다우드는 인터넷 스캔 도구인 센시스를 이용해 "수만 개의 잠재적으로 취약한 호스트"를 발견했다고 밝혔습니다. 헌트리스는 이들 중 상당수가 호스팅 서비스 업체로부터 시간 단위로 임대한 서버라고 말했습니다.

Cryptopolitan Script Editor를 하이재킹하여 지갑을 탈취하고, 피해자가 악성 터미널 명령어를 붙여넣도록 유도하는 가짜 macOS 문제 해결 게시물을 올리는 Reaper 멀웨어에 대해 보도했습니다

크립토재킹, 즉 컴퓨팅 파워를 훔쳐 코인으로 바꾸는 행위는 오랫동안 모네로(Monero)에서 발생해 왔습니다. 특수 채굴 장비와 달리 모네로 코인은 일반 CPU에서도 채굴할 수 있으며, 설계상 거래가 비공개로 이루어집니다.

해킹된 맥 한 대당 수익은 미미합니다. 월요일 가격은 모네로 네트워크에서 하루에 발행되는 약 432 XMR의 가치를 약 17만 9천 달러로 평가했으며, 이는 모든 채굴자에게 분배되었습니다. XMR은 월요일에 413.47달러에 거래되었으며, 24시간 동안 약 0.9% 상승했습니다.