Macs alugados dão aos atacantes acesso root por meio de um login de compartilhamento de tela

Na sexta-feira, a CISA elevou a pontuação de gravidade de uma vulnerabilidade de compartilhamento de tela do macOS para crítica, com 9,8 em 10.

Investigadores holandeses relataram que invasores obtiveram controle total de Macs expostos à internet e instalaram silenciosamente software de mineração de Monero.

De 7,1 para 9,8 em uma semana

Quando a Apple lançou a correção, a CISA listou a vulnerabilidade, traccomo CVE-2026-65400, com nota 7.1 no Banco de Dados Nacional de Vulnerabilidades. A agência alterou a nota para 9.8, próxima ao topo da escala CVSS.

O Centro Nacional de Segurança Cibernética dos Países Baixos adotou uma abordagem semelhante. Uma atualização em 12 de agosto revisou um aviso inicial para informar que um código-fonte de prova de conceito estava em circulação pública e que o uso indevido ativo havia sido confirmado.

Até sexta-feira, a falha não havia sido incluída no catálogo federal de vulnerabilidades conhecidas mantidas pela Agência de Segurança Cibernética e de Infraestrutura (CISA). O próprio registro da Apple junto à agência holandesa ainda apresentava a classificação antiga de 7,1.

A vulnerabilidade se deve à forma como o Compartilhamento de Tela lida com a autenticação. A empresa de segurança Huntress traca causa em uma falha no uso do protocolo Secure Remote Password (SRP) pelo serviço, utilizado para verificar adentdo usuário antes de conceder acesso.

Huntress afirma que, na prática, o efeito disso é que o Mac pensa que o usuário externo já fez login. A falha ocorre antes de qualquer verificação de senha. Redefinir ou excluir as senhas de Compartilhamento de Tela não resolve o problema.

"Qualquer pessoa que utilize a funcionalidade de Compartilhamento de Tela da Apple em qualquer versão compatível do macOS precisa aplicar imediatamente as atualizações de segurança mais recentes", escreveu Ryan Dowd, pesquisador da Huntress.

A Apple lançou essa correção no macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9 em 6 de agosto.

Dezenas de milhares de Macs alugados no alcance

O NCSC constatou que as máquinas das vítimas foram totalmente comprometidas. Em todos os casos analisados pelos pesquisadores, o invasor acessou o sistema pela porta 5900, a porta padrão de compartilhamento de tela que permaneceu exposta à internet.

Em seguida, eles obtiveram privilégios de root e implantaram um minerador de criptomoeda Monero (XMR). A agência holandesa não informou o número de sistemas afetados nem nomeou um suspeito.

O Compartilhamento de Tela está desativado por padrão. No entanto, é uma ferramenta padrão para trabalhar com Macs "bare-metal", que são hardware físico da Apple alugado e executado em data centers remotos, onde grande parte da exposição está concentrada.

Com a ferramenta de varredura da internet Censys, Dowd disse ter encontrado “dezenas de milhares de hosts potencialmente vulneráveis”. Muitos, segundo Huntress, são máquinas alugadas por hora de serviços de hospedagem.

Cryptopolitan noticiou o malware Reaper, que sequestra o Script Editor para drenar carteiras digitais, e falsas sobre solução de problemas do macOS, que levam as vítimas a colar comandos maliciosos no Terminal.

O cryptojacking, que consiste em roubar poder computacional para convertê-lo em moedas, é uma prática antiga no universo do Monero. Ao contrário de equipamentos especializados, as moedas Monero podem ser mineradas em CPUs comuns, e suas transações são privadas por natureza.

O retorno por Mac sequestrado é pequeno. O preço de segunda-feira avaliava os cerca de 432 XMR minerados diariamente pela rede Monero em aproximadamente US$ 179.000, distribuídos entre todos os mineradores. O XMR estava cotado a US$ 413,47 na segunda-feira, com alta de cerca de 0,9% em 24 horas.

Se você está lendo isto, já está um passo à frente. Continue assim assinando nossa newsletter.