macOS Screen Sharing: uma exploração ativa de bypass de autenticação para minerar Monero

O NCSC neerlandês alerta: uma vulnerabilidade de compartilhamento de tela do macOS está sendo explorada em campanha ativa para implantar um minerador de criptomoeda. O código de exploração é público — é hora de aplicar o patch.

O que

Uma vulnerabilidade de bypass de autenticação (contorno de autenticação) na funcionalidade Screen Sharing (Compartilhamento de Tela) do macOS está sendo ativamente explorada para implantar um minerador de criptomoeda Monero (XMR). O alerta vem do NCSC holandês (National Cyber Security Centre) — um código de exploração público recentemente surgiu, acelerando os ataques em andamento.

Quem é afetado

Todos os sistemas macOS com o compartilhamento de tela ativado e não atualizados estão potencialmente expostos. A superfície de ataque inclui, em particular, estações de trabalho de desenvolvedores e máquinas de build do macOS — populações frequentes em equipes de tecnologia.

Análise

Os mineradores de criptomoeda são muitas vezes percebidos como “pouco perigosos” em comparação com os ransomwares, mas eles revelam algo mais preocupante: uma capacidade de execução remota de código não autorizada, completa e reprodutível. Um atacante capaz de implantar um minerador pode, pelo mesmo meio, implantar qualquer payload: RAT (Remote Access Trojan), infostealer ou ransomware.

A escolha do Monero é deliberada: XMR é uma criptomoeda com privacidade reforçada que utiliza ring signatures (assinaturas em anel) e endereços furtivos, o que dificulta consideravelmente o rastreamento dos fundos e a atribuição do ataque.

O que fazer agora

1. Verifique se o Screen Sharing está ativado: Configurações do Sistema → Geral → Compartilhamento → desative “Compartilhamento de Tela” se não for necessário.
2. Aplique as atualizações do macOS disponíveis o mais rápido possível — o patch é a única proteção real.
3. Audite os processos ativos: um minerador Monero consome massivamente a CPU. Identifique processos desconhecidos com alto uso de CPU via Activity Monitor ou top -o cpu no Terminal.
4. Firewall de saída: bloqueie conexões para pools de mineração conhecidos (as portas 3333, 5555 e 7777 são frequentemente usadas por mineradores XMR).