Des hackers exploitent une faille récemment corrigée dans la fonctionnalité de partage d'écran d'Apple sur macOS afin de prendre le contrôle d'ordinateurs vulnérables et d'extraire secrètement du Monero, selon le Centre national de cybersécurité des Pays-Bas (NCSC-NL). L'agence a confirmé le 13 août que des attaquants exploitaient activement cette vulnérabilité, référencée sous l'identifiant CVE-2026-65400.

Cette faille permet aux attaquants de contourner l'authentification du partage d'écran de macOS et d'obtenir un accès de haut niveau aux Macs concernés, qu'ils peuvent ensuite utiliser pour installer des logiciels malveillants d'extraction de cryptomonnaies. Cette attaque est une forme de cryptojacking : au lieu de voler des cryptomonnaies sur un portefeuille ou une plateforme d'échange, les criminels détournent la puissance de calcul d'autrui pour générer des cryptos. Comme l'extraction s'exécute en arrière-plan, elle n'est souvent remarquée qu'à travers ses effets secondaires plutôt que par un signe évident d'intrusion.

Apple a publié une mise à jour de sécurité d'urgence le 6 août, mais les Macs qui n'ont pas été corrigés — en particulier ceux dont le partage d'écran est exposé directement à Internet — restent vulnérables.

Comment l'attaque fonctionne

La vulnérabilité affecte screensharingd, le composant de macOS responsable de la fonctionnalité d'accès à distance intégrée au système d'exploitation. La faille permet à un attaquant opérant depuis le réseau de passer outre les vérifications d'authentification habituelles du partage d'écran sans identifiants valides. Une fois l'accès obtenu, les attaquants peuvent prendre le contrôle du Mac au niveau root et installer des logiciels supplémentaires. Bien que chaque compromission observée par le NCSC-NL ait impliqué de l'extraction de cryptomonnaies, ce niveau d'accès ne s'y limite pas de manière intrinsèque.

Le NCSC-NL a indiqué que, dans chaque compromission observée, les attaquants avaient installé un logiciel d'extraction de Monero sur la machine concernée.

Les chercheurs en sécurité de Huntress ont également découvert que les tentatives courantes de sécurisation du partage d'écran, comme changer le mot de passe ou supprimer les comptes autorisés, n'empêchent pas l'exploitation de la vulnérabilité sous-jacente. La fermeture de cette voie d'attaque nécessite l'installation des correctifs du système d'exploitation ou la désactivation complète du partage d'écran.

Huntress a souligné que le risque est aggravé par l'essor des services Mac bare-metal hébergés, comme les Mac mini proposés dans le cloud, souvent livrés avec le partage d'écran activé par défaut. Selon Huntress, une recherche sur la plateforme d'analyse d'Internet Censys a mis en évidence des dizaines de milliers d'hôtes potentiellement vulnérables liés à ce type de fournisseurs. Les campagnes d'extraction de cette nature ont historiquement été documentées bien plus souvent sur les systèmes Windows et Linux ; une faille macOS exploitable à distance combinée à un vaste parc d'hôtes exposés à Internet se démarque donc du schéma habituel.

Les correctifs d'Apple couvrent macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 et macOS Sonoma 14.8.9.

Pourquoi le Monero ?

Le Monero (XMR) peut être extrait à l'aide de processeurs informatiques à usage général. XMR utilise un algorithme de preuve de travail appelé RandomX, conçu pour fonctionner sur des processeurs généralistes plutôt que sur le matériel d'extraction spécialisé couramment employé pour extraire du Bitcoin et certaines autres cryptomonnaies.

Pour les attaquants, cela peut réduire le coût d'une opération d'extraction. Plutôt que d'acheter et d'exploiter leur propre matériel, ils peuvent utiliser la puissance de calcul et l'électricité de leurs victimes pour extraire du Monero.

Le Monero possède également des fonctionnalités de confidentialité conçues pour masquer l'identité des parties aux transactions, rendant certaines d'entre elles plus difficiles à retracer. Ces fonctionnalités ont suscité un contrôle réglementaire accru dans certaines juridictions, notamment dans le cadre des mesures de lutte contre le blanchiment d'argent.

Pourquoi c'est important

Les attaquants peuvent utiliser les Macs et l'électricité de leurs victimes pour extraire des cryptomonnaies, en reportant le coût de l'opération d'extraction sur la victime. La charge CPU supplémentaire peut également ralentir l'ordinateur concerné et accroître sa consommation d'énergie. Le remède est simple et clair : installer la mise à jour d'Apple du 6 août ou désactiver entièrement le partage d'écran, et vérifier d'emblée que cette fonctionnalité n'est pas accessible depuis Internet. Pour les services Mac hébergés, cette vérification incombe autant au fournisseur qu'au client. Le NCSC-NL ayant confirmé une exploitation active à moins d'une semaine de la publication du correctif, l'exposition résiduelle concerne les machines non corrigées — en particulier les dizaines de milliers d'hôtes accessibles via Internet identifiés par Huntress.