Offener Port 5900 macht Macs zu Zielen für Monero-Mining

Die niederländische Cyberbehörde NCSC hat in ihrer Advisory NCSC-2026-0280 bestätigt, dass Angreifer eine kritische Authentifizierungslücke in macOS Screen Sharing aktiv ausnutzen. In allen bestätigten Fällen erhielten die Angreifer Root-Zugriff auf Systeme mit offenem Port 5900 und platzierten anschließend einen Monero-Miner.

Betroffen sind Macs, bei denen Screen Sharing aktiviert ist und Port 5900 direkt aus dem Internet erreichbar bleibt – typischerweise Mac-mini-Server, gemietete Apple-Silicon-Instanzen bei Cloud-Anbietern und CI/CD-Build-Farmen für iOS- und macOS-Entwicklung.

Die Lücke: Warum übliche Schutzmaßnahmen versagen

Die als CVE-2026-65400 geführte Schwachstelle sitzt im Systemdienst screensharingd, der Apples Remote-Desktop-Funktion über das VNC-Protokoll auf Port 5900 steuert. Normalerweise sichert das Secure-Remote-Password-Verfahren (SRP) die Authentifizierung so ab, dass das Passwort selbst nie über das Netzwerk übertragen wird.

Der Fehler liegt laut Sicherheitsforscher Ryan Dowd von Huntress im Frame-Length-Validator des Dienstes, der fälschlicherweise einen veralteten Erfolgsstatus zurückgibt. screensharingd interpretiert das als abgeschlossenen Anmeldevorgang und gewährt Zugriff – ganz ohne echte Prüfung der Zugangsdaten. Weil es sich um einen Pre-Authentication-Bypass handelt, greifen klassische Härtungsmaßnahmen wie Passwort-Rotation oder das Entfernen zugelassener Nutzerkonten nicht, da der Angreifer diese Kontrollen nie erreicht.

Acht Tage vom Notfall-Patch zur bestätigten Ausnutzung

Apple hatte am 27. Juli 2026 mit macOS Tahoe 26.6, Sequoia 15.7.8 und Sonoma 14.8.8 zunächst die separate, aber verwandte Lücke CVE-2026-43760 geschlossen, die im Gegensatz zu CVE-2026-65400 gültige VNC-Zugangsdaten voraussetzte. Am 29. Juli veröffentlichte Sicherheitsforscher Pedro Vilaça einen Blogbeitrag, der auf eine noch offene Pre-Auth-Schwachstelle im selben Dienst hinwies.

Zwischen dem 1. und 2. August rekonstruierte der Forscher bl4sty daraus eine funktionierende Proof-of-Concept-Kette. Apple reagierte am 6. August mit dem Notfall-Update auf Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9. Die Singapurer Sicherheitsfirma Calif.io hatte den Patch binnen rund vier Stunden zurückentwickelt und veröffentlichte am 8. August einen funktionierenden Exploit – vier Tage später bestätigte das NCSC am 12. August die aktive Ausnutzung in freier Wildbahn.

Warum ausgerechnet Monero

Die Wahl von Monero (XMR) als Zahlungsmittel der Kampagne folgt einer klaren Logik. Der Proof-of-Work-Algorithmus RandomX ist gezielt so konstruiert, dass er allgemeine CPUs bevorzugt statt spezialisierter ASIC-Hardware – Apple-Silicon-Chips schneiden hier vergleichbar gut ab wie leistungsstarke Ryzen-9-Prozessoren.

Hinzu kommt die Verschleierung: Ringsignaturen, Stealth-Adressen und RingCT machen Monero-Transaktionen für Strafverfolger und Blockchain-Analysten deutlich schwerer nachvollziehbar als Bitcoin-Überweisungen. Auf einem einzelnen kompromittierten Mac bringt das Mining bei haushaltsüblichen Stromkosten nur 3 bis 15 US-Dollar im Monat – erst bei Tausenden befallenen Systemen wird die Kampagne für Angreifer lohnend, während Opfer für Strom und Hardwareverschleiß aufkommen.

Wer betroffen ist und was jetzt zu tun ist

Laut Censys-Scans, die in der Huntress-Analyse zitiert werden, waren zum Zeitpunkt der Offenlegung Zehntausende macOS-Hosts mit offenem Port 5900 öffentlich im Internet auffindbar. Heimnetzwerke ohne manuell aktiviertes Screen Sharing und ohne Port-Weiterleitung sind nicht betroffen, da die Funktion standardmäßig deaktiviert ist.

Wer Screen Sharing nutzt, sollte umgehend auf macOS Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9 aktualisieren oder die Funktion unter System­einstellungen → Allgemein → Freigabe deaktivieren, bis ein Update möglich ist. Zusätzlich empfiehlt sich, Port 5900 nie direkt ins Internet zu exponieren, sondern Fernzugriffe über VPN oder SSH-Tunnel zu leiten und ungewöhnlich hohe CPU-Auslastung im Leerlauf zu überwachen. Cloud-Anbieter, die Mac-Instanzen bereitstellen, sollten laut Huntress-Analyse vor der Provisionierung neuer Systeme prüfen, ob ihr Basis-Image bereits das August-Update enthält.

Der Vorfall reiht sich in eine breitere Debatte über automatisiertes Krypto-Mining durch kompromittierte oder missbrauchte Infrastruktur ein, wie die Risiken autonomer KI-gesteuerter Mining-Systeme zeigen. Für Leser, die sich generell mit Angriffsflächen rund um Kryptowährungen befassen, bietet auch die Analyse aktueller Bitcoin-Sicherheitsbefunde weiterführenden Kontext.

🔗 Auch interessant: Vollständige technische Analyse bei TechTimes

Auf Google News folgen

Jetzt abonnieren