Los Mac alquilados proporcionan a los atacantes acceso de administrador a través de un inicio de sesión de Compartir pantalla

El viernes, CISA elevó el nivel de gravedad de una vulnerabilidad de macOS Screen Sharing a un nivel crítico de 9,8 sobre 10.

Investigadores holandeses han informado de que unos atacantes consiguieron el control de administrador de ordenadores Mac conectados a internet y cargaron silenciosamente software de minería de Monero.

De 7,1 a 9,8 en una semana

Cuando Apple lanzó su solución, la CISA clasificó el fallo, traccomo CVE-2026-65400, con una calificación de 7.1 en la Base de Datos Nacional de Vulnerabilidades. La agencia lo modificó a 9.8, cerca del máximo de la escala CVSS.

El Centro Nacional de Ciberseguridad de los Países Bajos adoptó un enfoque similar. Una actualización del 12 de agosto revisó un aviso inicial para indicar que había código de prueba de concepto público en circulación y que se había confirmado un uso indebido activo.

Hasta el viernes, la vulnerabilidad no figuraba en el catálogo federal de vulnerabilidades conocidas que mantiene la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA). El registro CVE de Apple ante la agencia holandesa aún conservaba la calificación anterior de 7.1.

La vulnerabilidad se debe a la forma en que la función de Compartir pantalla gestiona la autenticación. La empresa de seguridad Huntress la trachasta un fallo en el uso que hace el servicio de Secure Remote Password, el protocolo utilizado para verificar ladentde un usuario antes de concederle acceso.

Huntress afirma que, en la práctica, el Mac cree que el usuario externo ya ha iniciado sesión. El fallo se produce antes de cualquier verificación de contraseña. Restablecer o eliminar las contraseñas de Compartir pantalla no soluciona el problema.

“Cualquier persona que utilice la función de Compartir Pantalla de Apple en cualquier versión compatible de macOS debe aplicar las actualizaciones de seguridad más recientes de inmediato”, escribió Ryan Dowd, investigador de Huntress.

Apple implementó esa solución en macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9 el 6 de agosto.

Decenas de miles de Macs alquiladas en la zona

El NCSC descubrió que los equipos de las víctimas estaban totalmente comprometidos. En todos los casos examinados por los investigadores, el atacante accedió al sistema a través del puerto 5900, el puerto predeterminado para compartir pantalla que permanecía expuesto a internet.

Posteriormente, obtuvieron privilegios de administrador y desplegaron un minero de criptomonedas Monero (XMR). La agencia holandesa no proporcionó el número de sistemas afectados ni identificó a ningún sospechoso.

La función de compartir pantalla está desactivada de forma predeterminada. Sin embargo, es una herramienta estándar para trabajar con Macs "bare-metal", que son equipos físicos de Apple alquilados y que funcionan en centros de datos remotos, donde se concentra gran parte del riesgo.

Según Dowd, con la herramienta de escaneo de internet Censys, encontró "decenas de miles de hosts potencialmente vulnerables". Muchos de ellos, explica Huntress, son máquinas alquiladas por horas a servicios de alojamiento web.

Cryptopolitan informó sobre el malware Reaper, que secuestra el Editor de scripts para vaciar las carteras, y falsas de solución de problemas de macOS que llevan a las víctimas a pegar comandos maliciosos en la Terminal.

El criptominado, que consiste en robar potencia informática para convertirla en criptomonedas, ha sido una actividad común en Monero desde hace mucho tiempo. A diferencia de los equipos especializados, las monedas Monero se pueden minar en procesadores normales y sus transacciones son privadas por diseño.

La ganancia por cada Mac pirateada es pequeña. El precio del lunes valoraba los aproximadamente 432 XMR diarios generados por la red Monero en unos 179.000 dólares, distribuidos entre todos los mineros. El lunes, XMR cotizaba a 413,47 dólares, con un aumento de alrededor del 0,9% en 24 horas.

Si estás leyendo esto, ya llevas ventaja. Mantente al día con nuestro boletín informativo.