Mac loués : des pirates obtiennent un accès root via une connexion de partage d’écran

Alerte de sécurité majeure : les enquêteurs néerlandais ont découvert que des attaquants ont pris le contrôle total de Mac exposés à Internet, exploitant une faille dans les connexions de partage d'écran pour installer furtivement un logiciel de minage de Monero. Cette intrusion, signalée dans un rapport exclusif, marque une escalade inquiétante des cybermenaces ciblant les appareils Apple, avec des conséquences financières et de confidentialité dévastatrices pour les victimes.

De 7,1 à 9,8 en une semaine

Lors du déploiement du correctif par Apple, la CISA a initialement classé la faille, tracCVE-2026-65400, à 7,1 dans la base de données nationale des vulnérabilités (NVSD). L'agence a ensuite relevé ce score à 9,8, le plaçant parmi les plus élevés de l'échelle CVSS.

Le Centre national néerlandais de cybersécurité a adopté une approche similaire. Une mise à jour du 12 août a modifié un avis initial pour indiquer que du code de démonstration public circulait et que des abus actifs avaient été confirmés.

Vendredi, cette faille n'était pas encore répertoriée dans le catalogue fédéral des vulnérabilités connues et exploitées, tenu à jour par la Cybersecurity and Infrastructure Security Agency (CISA). Le dossier CVE d'Apple auprès de cette agence néerlandaise affichait toujours l'ancienne cote de 7,1.

Cette vulnérabilité est due à la manière dont le partage d'écran gère l'authentification. La société de sécurité Huntress l' traccomme une faille dans l'utilisation par le service du protocole Secure Remote Password, qui sert à vérifier l'dentd'un utilisateur avant de lui accorder l'accès.

Huntress explique que, concrètement, le Mac croit que la personne non autorisée est déjà connectée. Le problème survient avant toute vérification du mot de passe. Réinitialiser ou supprimer les mots de passe de partage d'écran ne résout pas le problème.

« Toute personne utilisant la fonctionnalité de partage d'écran d'Apple sur une version de macOS prise en charge doit appliquer immédiatement les dernières mises à jour de sécurité », a écrit Ryan Dowd, chercheur chez Huntress.

Apple a déployé ce correctif dans macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9 le 6 août.

Des dizaines de milliers de Mac loués dans la gamme

Le NCSC a constaté que les machines des victimes étaient totalement compromises. Dans chaque cas examiné par les chercheurs, l'attaquant a accédé au système via le port 5900, le port par défaut de partage d'écran qui restait exposé à Internet.

Ils ont ensuite obtenu les privilèges d'administrateur et déployé un mineur de cryptomonnaie Monero (XMR). L'agence néerlandaise n'a pas précisé le nombre de systèmes affectés ni identifié de suspect.

Le partage d'écran est désactivé par défaut. Cependant, il s'agit d'un outil standard pour travailler avec des Mac « bare metal », c'est-à-dire du matériel Apple physique loué et exécuté dans des centres de données distants, où se concentre une grande partie des risques.

Avec l'outil d'analyse Internet Censys, Dowd a déclaré avoir trouvé « des dizaines de milliers d'hôtes potentiellement vulnérables ». Nombre d'entre eux, selon Huntress, sont des machines louées à l'heure auprès de services d'hébergement.

Cryptopolitan a signalé le logiciel malveillant Reaper qui détourne l'éditeur de scripts pour vider les portefeuilles et de faux articles de dépannage macOS qui incitent les victimes à coller des commandes Terminal malveillantes.

Le cryptojacking, qui consiste à voler de la puissance de calcul pour générer des cryptomonnaies, est une pratique courante depuis longtemps chez les utilisateurs de Monero. Contrairement aux machines spécialisées, les cryptomonnaies Monero peuvent être minées sur des processeurs classiques, et ses transactions sont privées par conception.

Le rendement par Mac piraté est faible. Lundi, le prix valorisait les quelque 432 XMR émis quotidiennement par le réseau Monero à environ 179 000 $, répartis entre tous les mineurs. Le XMR s'échangeait à 413,47 $ lundi, en hausse d'environ 0,9 % sur 24 heures.

Si vous lisez ceci, vous avez déjà une longueur d'avance. Restez-y grâce à notre newsletter.