Se confirmó un ataque en el que hackers aprovecharon una vulnerabilidad del servicio de Compartir pantalla (Screen Sharing) de Apple macOS, obtuvieron privilegios de root en Macs expuestas al exterior y luego instalaron un programa para minar Monero (XMR).
Contenido clave
Las autoridades de Países Bajos detectaron múltiples casos de explotación real de la vulnerabilidad CVE-2026-65400 dirigida a Macs con el puerto de Compartir pantalla (5900) abierto.
Una vez que los atacantes obtuvieron privilegios de root, instalaron un minero de Monero y actualmente incluso se está distribuyendo código PoC (prueba de concepto) público.
Apple ya corrigió esta vulnerabilidad de autenticación en macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9.
Ataque de minería de Monero dirigido a macOS
La agencia nacional de ciberseguridad de los Países Bajos (NCSC) informó el 12 de agosto que confirmó indicios de que se aprovechó la misma vulnerabilidad en múltiples Mac. Todos los casos de afectación tenían el uso compartido de pantalla expuesto a través del puerto 5900, que es el puerto predeterminado, hacia el exterior.
Esta vulnerabilidad se identifica como CVE-2026-65400 y recibió una puntuación de gravedad de 7.1 según CVSS. La causa es un fallo estructural en la gestión del estado del proceso de autenticación del uso compartido de pantalla, que permite eludir la autenticación sin seguir un procedimiento normal de introducción de contraseñas.
Apple reforzó el proceso de verificación de autenticación y desplegó parches de seguridad en macOS Tahoe 26.6.1, Sequoia 15.7.9 y Sonoma 14.8.9 el 6 de agosto. La NCSC advirtió que, aunque ya circula código PoC público, los Mac que aún no hayan aplicado el parche mientras mantienen abierto el puerto de uso compartido de pantalla a Internet pueden convertirse fácilmente en objetivos de ataque.
Leer también: Vitalik Buterin respalda el modelo de Bitcoin para pruebas de pago de Ethereum de 128 KB
Riesgo de cryptojacking centrado en Monero
Este ataque es un tipo típico de “cryptojacking”. El atacante utiliza en secreto los recursos de cómputo de otra persona para minar criptomonedas, y todas las recompensas se las queda el atacante. Los costos de la electricidad y la caída del rendimiento recaen íntegramente sobre la víctima.
Debido a la alta anonimidad de Monero, se ha abusado de esta moneda de forma constante para una minería ilegal de este tipo. Esto se debe a que, a diferencia de otras blockchains donde el historial de transacciones se muestra de manera transparente en un libro contable público, es mucho más difícil rastrear el flujo de fondos.
El atacante puede minar Monero de forma continua mediante el hardware que mantiene bajo control durante mucho tiempo y lograr que sus ganancias fluyan con relativa libertad fuera del alcance de la investigación. Esto sirve como un medio para maximizar el valor económico que se puede extraer de los dispositivos infectados.
La empresa de seguridad **Bitdefender** dio a conocer recientemente un caso en el que el malware Lumma Stealer estaba oculto dentro de una copia ilegal del juego “The Odyssey”. En otros casos, se abusó de páginas falsas de CAPTCHA, una aplicación móvil SparkKitty, fondos de pantalla con temática de juegos y paquetes maliciosos de Python como rutas de infiltración. Algunos ataques también usaron un método para desviar el tráfico de páginas maliciosas hacia la cadena BNB. Las tácticas siguen evolucionando.
El cryptojacking se ha repetido especialmente en torno a Monero no tanto por robar criptomonedas directamente desde una billetera, sino por la estructura que consiste en tomar el control de múltiples dispositivos para distribuir las tareas de minería. Aunque las rutas de entrada son diversas, el modelo básico es el mismo: tomar control del hardware, consumir sus recursos de cómputo y energía para minar Monero y luego enviar las recompensas a una billetera indicada por el atacante.
Siguiente lectura: OpenAI enfrenta polémica por la desmantelación total del tercer equipo de seguridad antes de su salida a bolsa