Invasores têm explorado uma vulnerabilidade no recurso de Compartilhamento de Tela do macOS da Apple para assumir o controle de Macs e instalar silenciosamente mineradores de criptomoedas, alertou esta semana a agência nacional de segurança cibernética da Holanda.

Em um aviso atualizado, o Centro Nacional de Segurança Cibernética Holandês, ou NCSC, disse ter recebido relatórios de exploração ativa em múltiplos sistemas que tinham a porta 5900, usada pelo Compartilhamento de Tela, exposta à internet.

Em cada caso, os invasores obtiveram acesso root, o nível mais alto de controle sobre uma máquina, e instalaram um programa de mineração de Monero para aproveitar o hardware da vítima. Monero é uma chamada privacy coin, um tipo de criptomoeda que não pode ser facilmente rastreada, ao contrário de redes transparentes como Bitcoin ou Ethereum. A agência destacou que o código público de prova de conceito para a falha está agora circulando, diminuindo a barreira para potenciais invasores.

O bug, rastreado como CVE-2026-65400 e classificado com severidade 7.1 de 10, é uma falha de autenticação enraizada em uma gestão de estado defeituosa durante o processo de login. Ele permitia que invasores baseados em rede passassem sem credenciais válidas, aceitando tentativas de autenticação que deveriam ter sido rejeitadas.

A Apple já corrigiu o problema, apertando suas verificações de validação no macOS Sequoia 15.7.9, Sonoma 14.8.9 e Tahoe 26.6.1. Usuários que não atualizaram, particularmente qualquer um com Compartilhamento de Tela acessível pela internet aberta, permanecem expostos.

Monero há muito tempo é a moeda de escolha para o chamado cryptojacking, no qual máquinas sequestradas mineram cripto para um atacante que embolsa as recompensas enquanto a vítima absorve os custos de eletricidade e o desempenho degradado. Os recursos de privacidade do token tornam os lucros muito mais difíceis de rastrear do que o Bitcoin.

A campanha é a mais recente em um fluxo constante de esquemas que transformam dispositivos de outras pessoas em lucros cripto.

Somente neste mês, a Bitdefender encontrou cópias piratas de "A Odisseia" com o Lumma Stealer, que drena carteiras. O Decrypt também relatou malwares distribuídos por meio de páginas CAPTCHA falsas roteadas via BNB Chain, a operação SparkKitty que escondeu código de roubo de carteiras em aplicativos móveis, papéis de parede maliciosos de "anime girl" direcionados a jogadores do Steam e código de roubo de cripto contrabandeado para uma biblioteca Python armadilhada.

O NCSC sugere que os usuários apliquem as atualizações da Apple prontamente e evitem deixar o Compartilhamento de Tela acessível pela internet, o que deu aos invasores a sua oportunidade em primeiro lugar.