オランダ国立サイバーセキュリティセンター(NCSC-NL)によると、ハッカーがAppleのmacOS画面共有機能の脆弱性を悪用して脆弱なコンピュータを乗っ取り、Moneroを密かにマイニングしている。この脆弱性には新たにパッチが公開されている。同機関は8月13日、攻撃者がCVE-2026-65400として追跡されるこの脆弱性を積極的に悪用していることを確認したと発表した。

この脆弱性により、攻撃者はmacOS画面共有の認証を回避して影響を受けるMacへの高レベルのアクセス権を取得でき、それを利用して暗号資産マイニング用マルウェアをインストールすることが可能になる。この攻撃はクリプトジャッキングと呼ばれる手口の一種で、ウォレットや取引所から暗号資産を盗むのではなく、他人のコンピューティングパワーを乗っ取って暗号資産を生成する。マイニングはバックグラウンドで実行されるため、明確な侵入の兆候ではなく、その副次的な影響によって初めて気づかれることが多い。

Appleは8月6日に緊急セキュリティアップデートを公開したが、パッチ未適用のMac、特に画面共有がインターネットに直接公開されているMacは依然として危険にさらされている。

攻撃の仕組み

この脆弱性は、macOSのOS組み込みリモートアクセス機能を担うコンポーネント「screensharingd」に影響を及ぼす。この欠陥により、ネットワーク経由の攻撃者は有効な資格情報がなくても画面共有の通常の認証チェックを突破できる。アクセスを確保すると、攻撃者はMacのrootレベルの制御権を取得し、追加のソフトウェアをインストールできる。NCSC-NLが確認したすべての侵害事例ではマイニングが行われていたが、このレベルのアクセス権は本質的にマイニングに限定されるものではない。

NCSC-NLによると、同機関が確認したすべての侵害事例において、攻撃者は被害マシンにMoneroマイナーをインストールしていた。

Huntressのセキュリティ研究者らはまた、パスワードの変更や承認済みアカウントの削除といった画面共有を保護するための一般的な対策では、根本的な脆弱性の悪用を防げないことを突き止めた。攻撃経路を閉じるには、OSへのパッチ適用または画面共有の完全な無効化が必要である。

Huntressは、クラウド型Mac miniなど、画面共有がデフォルトで有効になった状態で提供されることが多いホステッド・ベアメタルMacサービスの増加が、このリスクを悪化させていると指摘した。同社によると、インターネットスキャンプラットフォームCensysでの検索では、こうしたプロバイダーに関連する潜在的に脆弱なホストが数万件検出された。この種のマイニングキャンペーンはこれまでWindowsやLinuxのシステムではるかに頻繁に確認されており、リモートから悪用可能なmacOSの脆弱性と大量のインターネット公開ホストの組み合わせは、通常のパターンとは際立って異なる。

Appleの修正は、macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9を対象としている。

なぜMoneroなのか

Monero(XMR)は、汎用コンピュータのプロセッサでマイニングできる。XMRはRandomXと呼ばれるプルーフ・オブ・ワークアルゴリズムを採用しており、Bitcoinなどの一部の暗号資産のマイニングに一般的に使われる専用マイニングハードウェアではなく、汎用CPUで動作するよう設計されている。

攻撃者にとって、これはマイニング運用のコストを削減できることを意味する。自らハードウェアを購入・運用する代わりに、被害者のコンピューティングパワーと電力を使ってMoneroをマイニングできるからだ。

Moneroには取引当事者の身元を秘匿するよう設計されたプライバシー機能もあり、一部の取引の追跡をより困難にしている。こうした機能は、特にマネーロンダリング対策の文脈で、一部の地域において規制当局による監視の強化を招いている。

なぜ重要なのか

攻撃者は被害者のMacと電力を使って暗号資産をマイニングでき、マイニング運用のコストを被害者に転嫁できる。CPUへの追加負荷は、被害コンピュータの動作を遅くし、エネルギー消費を増やす可能性もある。対策は限定的で明確だ。Appleの8月6日のアップデートをインストールするか画面共有を完全に無効化し、そもそもこの機能がインターネットからアクセスできない状態であることを確認することである。ホステッドMacサービスの場合、この確認は顧客と同様にプロバイダーの責任でもある。NCSC-NLがパッチ公開から1週間以内に活発な悪用を確認していることから、残されたリスクはパッチ未適用のマシン、とりわけHuntressが特定した数万件のインターネット到達可能なホストに集中している。