macOS严重安全漏洞被利用进行门罗币挖矿

核心要点

数千台Mac系统面临风险 / Monero成为加密货币劫持的首选目标 / 网络犯罪分子利用macOS屏幕共享漏洞获取root权限，在被暴露的Mac系统上部署Monero挖矿恶意软件 / 荷兰国家网络安全中心确认了针对端口5900对外开放系统的活跃攻击 / 苹果于8月6日在macOS Tahoe 26.6.1、Sequoia 15.7.9和Sonoma 14.8.9中发布了安全补丁 / 美国网络安全与基础设施安全局将该漏洞的严重性评级从最初的7.1提升至9.8（严重） / 密码重置等传统缓解措施无效，只有苹果的安全更新才能解决此漏洞

系统风险

网络犯罪分子成功利用苹果macOS屏幕共享功能中的安全弱点，控制了联网的Mac电脑，并将其用于Monero加密货币挖矿操作。荷兰国家网络安全中心在8月12日发布的修订版安全公告中证实了这些攻击。

在所有记录在案的事件中，威胁行为者成功获取了系统root权限，并在被劫持的设备上部署了Monero挖矿应用程序。荷兰网络安全当局拒绝透露受感染Mac的具体数量，也未指明潜在的威胁行为者。

苹果针对被标记为CVE-2026-65400的安全漏洞，于8月6日发布了补丁。该修复通过macOS Tahoe 26.6.1、Sequoia 15.7.9和Sonoma 14.8.9进行了分发。

该漏洞源于macOS屏幕共享所使用的安全远程密码认证机制中的状态管理缺陷。网络安全公司Huntress发现，恶意行为者可以操纵系统，将未经授权的连接识别为已预认证，从而授予其完全的提权访问权限。

由于攻击发生在常规认证流程之前，因此典型的安全措施失效。重置屏幕共享凭据、停用VNC认证或删除用户配置文件，均无法阻止未经授权的访问。

数千台Mac系统面临风险

Huntress安全研究员Ryan Dowd进行了一项Censys扫描，发现数万个潜在易受攻击的端点。这个数字代表的是面向互联网的Mac设备，而非已确认被入侵的设备。

对于云托管裸金属Mac基础设施，例如从托管提供商处租用的Mac mini，威胁等级尤其高。某些托管平台会在新配置的机器上自动激活屏幕共享，这就在苹果8月6日安全更新尚未应用时，创造了暴露窗口。

美国网络安全与基础设施安全局最初在苹果发布补丁时，将该漏洞的严重性评分为7.1。随后，CISA于8月14日将该评级提升至9.8（严重），并确认利用该漏洞既不需要提升权限，也不需要用户交互。

Monero成为加密货币劫持的首选目标

Monero仍然是加密货币劫持操作的首选。该加密货币支持使用标准计算硬件进行挖矿，这与需要专用设备的比特币形成对比。其注重隐私的架构也使得交易追踪更加困难。

单台机器的盈利能力仍然有限。整个Monero网络每天大约产生432个XMR，相当于整个挖矿生态系统约179,000美元的收益。

在报告发布期间，Monero的交易价格在414至415美元之间，24小时内涨幅约为1%至3.7%，过去一周涨幅约为5%。

荷兰NCSC确认了活跃的利用行为，但未透露有关挖矿基础设施、矿池地址或攻击者钱包标识符的具体信息。正在进行的安全研究可能会在苹果的修复措施可用之前，揭示此次攻击活动的范围。

已启用屏幕共享功能的Mac用户应立即部署苹果的最新安全补丁。