Kẻ tấn công đã khai thác lỗ hổng trong tính năng Screen Sharing của macOS của Apple để giành quyền kiểm soát máy Mac và âm thầm cài đặt các công cụ đào tiền điện tử, cơ quan an ninh mạng quốc gia Hà Lan cảnh báo trong tuần này.

Trong một khuyến cáo cập nhật, Trung tâm An ninh Mạng Quốc gia Hà Lan, hay NCSC, cho biết họ đã nhận được báo cáo về việc khai thác tích cực trên nhiều hệ thống có cổng 5900, được sử dụng bởi Screen Sharing, tiếp xúc với internet.

Trong mỗi trường hợp, kẻ tấn công đã giành quyền truy cập root, cấp độ kiểm soát cao nhất đối với một máy, và cài đặt chương trình đào Monero để tận dụng phần cứng của nạn nhân. Monero là một loại "privacy coin" (tiền điện tử riêng tư), một loại tiền điện tử không thể dễ dàng theo dõi, không giống như các mạng minh bạch như Bitcoin hoặc Ethereum. Cơ quan này lưu ý rằng mã proof-of-concept công khai cho lỗ hổng hiện đang được lưu hành, làm giảm rào cản cho những kẻ tấn công tiềm năng.

Lỗi này, được theo dõi là CVE-2026-65400 và được đánh giá mức độ nghiêm trọng 7.1 trên 10, là một lỗ hổng xác thực bắt nguồn từ việc quản lý trạng thái sai sót trong quá trình đăng nhập. Nó cho phép kẻ tấn công dựa trên mạng xâm nhập mà không cần thông tin đăng nhập hợp lệ, chấp nhận các nỗ lực xác thực đáng lẽ phải bị từ chối.

Apple kể từ đó đã vá lỗi này, thắt chặt các kiểm tra xác thực trong macOS Sequoia 15.7.9, Sonoma 14.8.9 và Tahoe 26.6.1. Người dùng chưa cập nhật, đặc biệt là bất kỳ ai có Screen Sharing có thể truy cập từ internet mở, vẫn còn bị phơi nhiễm.

Monero từ lâu đã là đồng tiền được lựa chọn cho cái gọi là cryptojacking (tấn công chiếm quyền đào tiền ảo), trong đó các máy bị chiếm quyền kiểm soát sẽ đào tiền điện tử cho kẻ tấn công thu lợi nhuận trong khi nạn nhân phải chịu chi phí điện và hiệu suất giảm sút. Các tính năng riêng tư của đồng tiền này khiến các khoản thu nhập khó theo dõi hơn nhiều so với Bitcoin.

Chiến dịch này là mới nhất trong một chuỗi liên tục các kế hoạch biến thiết bị của người khác thành lợi nhuận tiền điện tử.

Chỉ trong tháng này, Bitdefender đã phát hiện các bản sao lậu của "The Odyssey" được cài cắm phần mềm đánh cắp ví Lumma Stealer. Decrypt cũng đã báo cáo về phần mềm độc hại được đẩy qua các trang CAPTCHA giả mạo được định tuyến qua BNB Chain, hoạt động SparkKitty đã ẩn mã đánh cắp ví trong ứng dụng di động, hình nền "cô gái anime" độc hại nhắm vào game thủ Steam, và mã đánh cắp tiền điện tử được buôn lậu vào một thư viện Python bị gài bẫy.

NCSC khuyến nghị người dùng nhanh chóng áp dụng các bản cập nhật của Apple và tránh để Screen Sharing có thể truy cập từ internet, điều đã tạo cơ hội cho kẻ tấn công ngay từ đầu.