Арендованные компьютеры Mac предоставляют злоумышленникам root-доступ через вход в систему с использованием функции совместного доступа к экрану

В пятницу CISA повысила оценку серьезности уязвимости функции совместного использования экрана в macOS до критической — 9,8 из 10.

Голландские следователи сообщили о том, что злоумышленники получили права root на компьютерах Mac, подключенных к интернету, и незаметно установили программное обеспечение для майнинга Monero.

С 7,1 до 9,8 за неделю

Когда Apple выпустила исправление, CISA оценила эту ошибку, tracкак CVE-2026-65400, на 7,1 балла в Национальной базе данных уязвимостей. Затем агентство изменило оценку на 9,8, что близко к верхней границе шкалы CVSS.

Национальный центр кибербезопасности Нидерландов применил аналогичный подход. В обновлении от 12 августа была изменена первоначальная рекомендация, в которой говорилось, что в обращении находится общедоступный экспериментальный код и подтверждено активное злоупотребление им.

По состоянию на пятницу, эта уязвимость не была включена в федеральный каталог известных атакованных уязвимостей, который ведет Агентство по кибербезопасности и защите инфраструктуры. Собственная запись Apple в реестре CVE голландского агентства по-прежнему имела более старый рейтинг 7.1.

Уязвимость связана с тем, как функция «Совместное использование экрана» обрабатывает аутентификацию. Компания Huntress tracпричину — недостаток в использовании сервисом протокола Secure Remote Password, который используется для проверкиdentпользователя перед предоставлением доступа.

Хантресс говорит, что на практике это приводит к тому, что Mac считает, что посторонний уже вошел в систему. Сбой происходит до проверки пароля. Сброс или удаление паролей для совместного использования экрана не исключает такой возможности.

«Всем, кто использует функцию совместного использования экрана Apple на любой поддерживаемой версии macOS, необходимо немедленно установить последние обновления безопасности», — написал исследователь Huntress Райан Доуд.

Компания Apple выпустила это исправление в macOS Tahoe 26.6.1, Sequoia 15.7.9 и Sonoma 14.8.9 6 августа.

В зоне действия находятся десятки тысяч арендованных компьютеров Mac

NCSC , что компьютеры жертв были полностью скомпрометированы. В каждом из рассмотренных исследователями случаев злоумышленник получал доступ к системе через порт 5900, стандартный порт для совместного использования экрана, который оставался открытым для интернета.

Затем они получили права root и развернули майнер криптовалюты Monero ($XMR). Голландское агентство не сообщило количество затронутых систем и не назвало имя подозреваемого.

Функция «Совместное использование экрана» по умолчанию отключена. Однако это стандартный инструмент для работы с компьютерами Mac, работающими на «чистом железе», то есть с физическим оборудованием Apple, арендованным и используемым в удаленных центрах обработки данных, где сосредоточена большая часть рисков.

По словам Дауда, с помощью инструмента сканирования интернета Censys он обнаружил «десятки тысяч потенциально уязвимых хостов». Многие из них, как утверждает Хантресс, — это машины, арендованные почасово у хостинг-провайдеров.

Cryptopolitan сообщило о вредоносной программе Reaper, которая взламывает Script Editor для опустошения кошельков и неполадок macOS, побуждающих жертв вставлять вредоносные команды в Терминал.

Криптоджекинг, кража вычислительной мощности для получения криптовалюты, давно является характерной чертой Monero. В отличие от специализированных майнинговых установок, криптовалюту Monero можно добывать на обычных процессорах, а транзакции по умолчанию являются конфиденциальными.

Прибыль с каждого взломанного Mac невелика. В понедельник цена оценивала примерно 432 $XMR, выпускаемых сетью Monero в день, примерно в 179 000 долларов, распределяемых между всеми майнерами. В понедельник $XMR торговался по цене 413,47 долларов, что примерно на 0,9% выше, чем за предыдущие 24 часа.

Источник