Niedawno załatana luka w funkcji Screen Sharing systemu macOS jest aktywnie wykorzystywana przez napastników. Holenderskie Narodowe Centrum Cyberbezpieczeństwa, NCSC-NL, poinformowało o przypadkach, w których błąd pozwalał przejąć zdalną kontrolę nad komputerem bez prawidłowego uwierzytelnienia. Na zaatakowanych Macach instalowano następnie koparki kryptowaluty Monero.
Według NCSC-NL nadużycia zaobserwowano na wielu systemach, na których port 5900 był dostępny bezpośrednio z internetu. Jest to port wykorzystywany przez funkcję udostępniania ekranu. Gdy Screen Sharing jest włączone, zapora macOS celowo udostępnia ten port, aby umożliwić zdalne połączenia. W opisywanych przypadkach napastnicy uzyskiwali najwyższy poziom uprawnień, określany jako root access, a następnie umieszczali w systemie program do wydobywania Monero.
Problem został usunięty w macOS Tahoe 26.6.1. Odpowiednie poprawki trafiły również do macOS Sonoma 14.8.9 oraz macOS Sequoia 15.7.9. Apple poinformowało, że naprawiło błąd związany z uwierzytelnianiem poprzez ulepszenie zarządzania stanem połączenia. Producent nie opisał w materiale dodatkowych szczegółów technicznych dotyczących samej podatności.
Użytkownicy komputerów Mac, którzy nie zainstalowali jeszcze odpowiedniej aktualizacji, powinni zrobić to możliwie szybko. Szczególne znaczenie ma to w przypadku urządzeń, na których funkcja Screen Sharing jest włączona, a port 5900 pozostaje osiągalny z internetu. Instalacja koparki Monero pozwala napastnikom wykorzystywać zasoby przejętego komputera do obliczeń kryptowalutowych, co może powodować dodatkowe obciążenie systemu.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Funkcja macOS pozwalająca na zdalny dostęp do ekranu i sterowanie komputerem. W tym przypadku jej interfejs sieciowy stał się punktem ataku.
Program wykorzystujący moc obliczeniową urządzenia do wydobywania kryptowaluty. W opisywanych atakach chodziło o Monero.
Numerowany punkt komunikacji używany przez usługi sieciowe. Port 5900 był dostępny z internetu na systemach, które padły ofiarą ataków.
Najwyższy poziom uprawnień w systemie operacyjnym, pozwalający na wykonywanie działań niedostępnych zwykłym użytkownikom.
Brak komentarzy. Bądź pierwszy!
