Apple, 해커들의 Monero 채굴 악용 후 치명적인 macOS 결함 패치

Apple이 해커들이 개방된 Mac에서 Monero를 채굴하는 데 이용해 온 macOS 화면 공유 취약점을 수정했습니다.

Netherlands’ National Cyber Security Centre의 업데이트된 경고에 따르면, Apple은 공격자가 루트 권한을 획득하고 인터넷에 연결된 노출된 Mac에 Monero 채굴 소프트웨어를 설치하는 데 악용한 macOS 화면 공유 취약점을 패치했습니다.

8월 12일, Dutch National Cyber Security Centre는 5900 포트를 통해 인터넷에 연결된 여러 시스템을 대상으로 사용 중인 CVE-2026-65400을 관찰했다고 보고했습니다. 발견된 모든 사례에서 공격자는 루트 권한을 가졌으며 이후 Monero 채굴기를 설치했습니다. NCSC는 이 활동으로 인해 얼마나 많은 장치가 영향을 받았는지 밝히지 않았으며, 특정 그룹의 이름을 언급하지도 않았습니다.

8월 6일, Apple은 이 결함을 해결하기 위해 macOS Tahoe, Sequoia, Sonoma용 업데이트를 출시했습니다. 화면 공유 결함은 네트워크 기반 공격자가 서비스를 통한 인증을 우회할 수 있게 하는 상태 관리 오류입니다.

보안 회사 Huntress는 SCRAM (Secure Remote Password) 인증 메커니즘의 결함으로 인해 인증되지 않은 연결이 인증된 연결로 처리되어 권한 상승이 가능해질 수 있다고 보고했습니다. 이 결함은 일반적인 인증 이전에 발생하므로 비밀번호를 변경하거나 계정을 비활성화해도 취약점이 줄어들지 않습니다.

Huntress는 Apple의 보안 업데이트를 적용하거나 취약한 호스트가 업데이트될 때까지 화면 공유를 비활성화할 것을 제안했습니다. 연구원 Ryan Dowd는 Censys에서 검색을 수행하여 수만 개의 노출된 호스트를 발견했지만, 이 숫자가 감염된 호스트의 수를 나타내는 것은 아닙니다.

더 읽어보기: Zcash Is Making a Comeback: Why ZEC Could Lead Crypto’s Privacy Revival

원격 Mac 프로비저닝 시 새로 프로비저닝된 머신에 화면 공유가 활성화된 상태로 남을 수 있으므로 호스팅된 베어메탈 Mac이 특히 위험합니다. 이 취약점은 CISA에 의해 9.8의 CVSS 심각도 점수를 받았습니다. 악용을 위해 어떠한 권한이나 사용자 상호 작용도 필요하지 않습니다.

Dutch NCSC에 따르면, 이러한 공격에서 공격자들은 (지갑을 훔치는 대신) 처리 능력을 사용하여 Monero를 채굴하기 위해 이 Mac들을 침해했습니다. 공격자들은 침해된 Mac에 대한 루트 권한을 얻은 후 Mac의 처리 능력을 사용하여 Monero를 채굴했습니다. 채굴기 및 마이닝 풀 주소, 공격자의 지갑, 또는 채굴된 XMR▲$323.54의 양 등은 보고되지 않았습니다.