Secondo il National Cyber Security Centre dei Paesi Bassi (NCSC-NL), degli hacker stanno sfruttando una falla appena corretta nella funzione di condivisione dello schermo di macOS di Apple per prendere il controllo di computer vulnerabili e minare Monero di nascosto. L'agenzia ha confermato il 13 agosto che gli aggressori stanno sfruttando attivamente la vulnerabilità, tracciata come CVE-2026-65400.

La falla consente agli aggressori di aggirare l'autenticazione in Condivisione schermo di macOS e di ottenere un accesso di alto livello ai Mac colpiti, che possono poi utilizzare per installare malware per il mining di criptovalute. L'attacco è una forma di cryptojacking: invece di rubare criptovalute da un wallet o da un exchange, i criminali dirottano la potenza di calcolo altrui e la usano per generare crypto. Poiché il mining viene eseguito in background, spesso viene notato solo attraverso i suoi effetti collaterali piuttosto che attraverso evidenti segni di intrusione.

Apple ha rilasciato un aggiornamento di sicurezza d'emergenza il 6 agosto, ma i Mac non ancora aggiornati — in particolare quelli con Condivisione schermo esposta direttamente a internet — restano a rischio.

Come funziona l'attacco

La vulnerabilità riguarda screensharingd, il componente di macOS responsabile della funzione di accesso remoto integrata nel sistema operativo. La falla consente a un aggressore che agisce tramite rete di superare i normali controlli di autenticazione di Condivisione schermo senza credenziali valide. Una volta ottenuto l'accesso, gli aggressori possono assumere il controllo del Mac a livello di root e installare software aggiuntivo. Sebbene ogni compromissione osservata da NCSC-NL abbia coinvolto il mining, tale livello di accesso non è di per sé limitato a questo.

NCSC-NL ha dichiarato che in ogni compromissione osservata gli aggressori hanno installato un miner di Monero sulla macchina colpita.

I ricercatori di sicurezza di Huntress hanno inoltre scoperto che i tentativi comuni di mettere in sicurezza Condivisione schermo, come cambiare la password o rimuovere gli account autorizzati, non impediscono lo sfruttamento della vulnerabilità sottostante. Per chiudere il percorso d'attacco è necessario aggiornare il sistema operativo o disattivare completamente Condivisione schermo.

Huntress ha segnalato che il rischio è accentuato dalla diffusione dei servizi Mac bare-metal in hosting, come i Mac mini basati su cloud, che spesso vengono forniti con Condivisione schermo attivata per impostazione predefinita. Secondo Huntress, una ricerca sulla piattaforma di scansione di internet Censys ha individuato decine di migliaia di host potenzialmente vulnerabili legati a tali fornitori. Campagne di mining di questo tipo sono storicamente state documentate molto più spesso su sistemi Windows e Linux, quindi una falla di macOS sfruttabile da remoto abbinata a un vasto parco di host esposti a internet si distingue dal pattern abituale.

Le correzioni di Apple riguardano macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 e macOS Sonoma 14.8.9.

Perché Monero?

Monero (XMR) può essere minata utilizzando processori per computer di uso generale. XMR utilizza un algoritmo proof-of-work chiamato RandomX, progettato per girare su CPU di uso generale anziché sull'hardware di mining specializzato comunemente usato per minare Bitcoin e altre criptovalute.

Per gli aggressori, questo può ridurre il costo di gestione di un'operazione di mining. Invece di acquistare e gestire hardware proprio, possono usare la potenza di calcolo e l'elettricità delle vittime per minare Monero.

Monero dispone inoltre di funzionalità di privacy progettate per offuscare le identità delle parti coinvolte nelle transazioni, rendendo alcune transazioni più difficili da tracciare. Tali funzionalità hanno attirato una maggiore attenzione da parte dei regolatori in alcune giurisdizioni, in particolare nel contesto delle misure di contrasto al riciclaggio di denaro.

Perché è importante

Gli aggressori possono usare i Mac e l'elettricità delle vittime per minare criptovalute, spostando il costo dell'operazione di mining sulla vittima. Il maggiore utilizzo della CPU può inoltre rallentare il computer colpito e aumentarne i consumi energetici. Il rimedio è limitato e chiaro: installare l'aggiornamento di Apple del 6 agosto o disattivare completamente Condivisione schermo, e verificare in primo luogo che la funzione non sia raggiungibile da internet. Per i servizi Mac in hosting, tale verifica compete al fornitore tanto quanto al cliente. Con NCSC-NL che ha confermato lo sfruttamento attivo entro una settimana dal rilascio della patch, l'esposizione residua riguarda le macchine non aggiornate — in particolare le decine di migliaia di host raggiungibili da internet individuate da Huntress.