Hackers estão explorando ativamente uma falha no serviço de compartilhamento de tela do macOS para assumir controle de nível root de um pequeno número de dispositivos. Os ataques transformam um recurso de acesso remoto integrado em uma porta de entrada para colocar arquivos silenciosamente, alterar configurações do sistema e executar um minerador de criptomoedas que consome o poder de computação da vítima.
Análise Técnica da Vulnerabilidade
A atividade foi identificada pela Microsoft Threat Intelligence após a telemetria do Microsoft Defender registrar logins de rede bem-sucedidos para contas root através do compartilhamento de tela. As observações mostram a exploração do CVE-2026-65400, uma fraqueza de autenticação inadequada sendo usada contra um número limitado de sistemas macOS.
Os atacantes usam o compartilhamento de tela tanto como ponto de entrada quanto como canal para transferir suas ferramentas. Após fazer login como root, eles copiam scripts e uma chave pública SSH para o dispositivo. Essa chave lhes dá outra rota de volta para o Mac após a sessão de compartilhamento de tela original terminar.
Eles então removem históricos de comandos e logs, reduzindo as evidências disponíveis para administradores. A operação também altera as configurações do Packet Filter, o que pode alterar como o host lida com o tráfego de rede. Essas ações dão à intrusão uma pegada mais deliberada do que um minerador oportunista deixado por um golpe único.
Persistência e Payload
O payload final é o XMRig 6.26.0, software capaz de minerar a criptomoeda Monero. Os atacantes o copiam, renomeiam e aplicam uma assinatura ad-hoc antes de escondê-lo sob um caminho semelhante ao do sistema. Eles também fazem com que seu processo em execução se assemelhe a um serviço da Apple, um método de evasão visto em outras campanhas de mineração macOS.
Para permanecer ativo, os intrusos criam um LaunchDaemon configurado para ser executado na carga e permanecer em execução. Isso significa que remover um minerador detectado sozinho pode não resolver a violação. Os investigadores também devem procurar a chave SSH, cópias ocultas, configurações alteradas e persistência não autorizada que poderiam restaurar o acesso ou relançar o payload.
Impacto e Escopo
O risco central vem das permissões elevadas do serviço. Pesquisas separadas sobre o recurso explicam que a autenticação VNC legada pode deixar componentes de cópia de arquivos de compartilhamento de tela operando com autoridade root, permitindo que arquivos protegidos sejam lidos ou arquivos arbitrários sejam escritos em locais sensíveis.
Para organizações, a exposição não se limita a um computador lento. O acesso root pode permitir que um atacante inspecione arquivos de configuração, adicione acesso remoto, enfraqueça controles e use o dispositivo como ponto de entrada. Administradores devem tratar sessões SSH root inexplicáveis após a atividade de compartilhamento de tela como um incidente potencial, não um evento de suporte rotineiro.
Recomendações de Mitigação
Os defensores devem atualizar os Macs afetados para pelo menos Tahoe 26.6.1, Sequoia 15.7.9 ou Sonoma 14.8.9. Eles devem desativar o compartilhamento de tela onde não é necessário, bloquear o acesso não confiável à porta TCP 5900 e inspecionar chaves SSH e LaunchDaemons.
Alterar apenas uma senha VNC não é uma salvaguarda completa contra o problema de autorização subjacente. A Microsoft também aconselha revisar as detecções para malware CoinMiner, ingressos de arquivo suspeitos e conexões de serviço remoto suspeitas.
Hunting e Detecção
A caça de alta confiança combina transferências de compartilhamento de tela de nível root através do SSFileCopyReceiver com gravações em SSH privilegiado, configuração do sistema, locais temporários ou locais LaunchDaemon. Equipes devem manter o macOS e as ferramentas de segurança atualizados, revisar alertas envolvendo estocagem de dados e redefinir senhas afetadas de um dispositivo limpo.
Qualquer comprometimento suspeito justifica revogar sessões ativas e substituir credenciais de nuvem ou SSH expostas. A campanha é um lembrete de que prompts podem ter consequências reais. Equipes devem preservar logs e evidências de configuração relevantes antes da limpeza, onde possível.
Indicadores de Comprometimento (IoCs)
- SHA-256: 84006055916e267f7c2f9324f1848563e589e4526a296d4e9e9ce8e2112d357c (Binário XMRig personalizado)
- Caminho de Arquivo: /private/var/root/.config/sysmond (Caminho oculto usado para o minerador)
- Caminho de Arquivo: /Library/LaunchDaemons/com.xmr.miner.plist (Configuração de persistência maliciosa)
- Comando: exec -a com[.]apple[.]airportd (Mascaramento de linha de comando)
- Carteira Monero: 4AUZ9XNsffcPn13Yjk5yWAaZg8x5Fgu9cL9kWwDCnmACUFLuwrLg41WU31qiKfmo9ee62mVbwG9F5G82Ko8vck8nCtxdicj
- Domínio e Porta: auto[.]c3pool[.]org:443 (Endpoint de pool de mineração)
Perguntas Frequentes
Como saber se meu Mac foi comprometido? Procure por processos de mineração desconhecidos, chaves SSH não autorizadas e configurações de compartilhamento de tela ativas que você não reconhece.
O compartilhamento de tela é seguro? Desative-o quando não estiver em uso. Se necessário, restrinja o acesso a redes confiáveis e use autenticação forte.