CISA reavalia falha de Compartilhamento de Tela do macOS para 9,8 após ataques de mineração de Monero

A CISA aumentou a pontuação de severidade de uma vulnerabilidade do Compartilhamento de Tela do macOS para um crítico 9,8 de 10 na sexta-feira.

Investigadores holandeses relataram atacantes obtendo controle root de Macs expostos à internet e carregando silenciosamente software de mineração de Monero.

De 7.1 para 9.8 em uma semana

Quando a Apple enviou sua correção, a CISA listou o bug, rastreado como CVE-2026-65400, em 7,1 no Banco Nacional de Vulnerabilidades. A agência mudou para 9,8, perto do topo da escala CVSS.

O Centro Nacional de Cibersegurança dos Países Baixos adotou uma abordagem semelhante. Uma atualização de 12 de agosto revisou um aviso inicial para dizer que o código de prova de conceito público estava em circulação e que o abuso ativo havia sido confirmado.

Até sexta-feira, a falha não havia sido incluída em um catálogo federal de vulnerabilidades atacadas conhecidas mantido pela Agência de Segurança Cibernética e de Infraestrutura. O próprio registro CVE da Apple com a agência holandesa ainda tinha a classificação mais antiga de 7,1.

A vulnerabilidade deve-se à maneira como o Compartilhamento de Tela lida com a autenticação. A empresa de segurança Huntress rastreou isso a uma falha no uso do serviço do Secure Remote Password, o protocolo usado para verificar a identidade de um usuário antes de conceder acesso.

A Huntress diz que o efeito prático é que o Mac pensa que o estranho já fez login. A falha ocorre antes de qualquer verificação de senha. Redefinir ou excluir senhas do Compartilhamento de Tela não fecha a porta.

“Qualquer pessoa que utilize a funcionalidade de Compartilhamento de Tela da Apple em qualquer versão suportada do macOS precisa aplicar as atualizações de segurança mais recentes imediatamente”, escreveu o pesquisador da Huntress, Ryan Dowd.

A Apple entregou essa correção no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 em 6 de agosto.

Dezenas de milhares de Macs alugados no alcance

O NCSC descobriu que as máquinas das vítimas estavam totalmente comprometidas. Em cada caso examinado pelos pesquisadores, o atacante acessou o sistema pela porta 5900, a porta padrão de Compartilhamento de Tela que permaneceu exposta à internet.

Eles então escalaram para privilégios root e implantaram um minerador de criptomoeda Monero (XMR). A agência holandesa não forneceu o número de sistemas afetados nem nomeou um suspeito.

O Compartilhamento de Tela está desativado por padrão. No entanto, é uma ferramenta padrão para trabalhar com Macs “bare-metal”, que são hardware Apple físico alugado e executado dentro de data centers remotos, onde grande parte da exposição está concentrada.

Com a ferramenta de varredura da internet Censys, Dowd disse que encontrou “dezenas de milhares de hosts potencialmente vulneráveis”. Muitos, diz a Huntress, são máquinas alugadas por hora de serviços de hospedagem.

A Cryptopolitan reportou sobre o malware Reaper que sequestra o Script Editor para drenar carteiras e posts falsos de resolução de problemas do macOS que levam as vítimas a colar comandos maliciosos no Terminal.

Cryptojacking, roubar poder de computação para transformá-lo em moedas, há muito é uma atividade do Monero. Diferente de rigs especializados, as moedas Monero podem ser mineradas em CPUs normais, e suas transações são privadas por design.

O retorno por Mac sequestrado é pequeno. O preço de segunda-feira avaliava os cerca de 432 XMR cunhados por dia pela rede Monero em ~US$ 179.000, distribuídos entre todos os mineradores. O XMR estava sendo negociado a US$ 413,47 na segunda-feira, subindo cerca de 0,9% em 24 horas.