Apple แก้ไขช่องโหว่ใน macOS ที่ถูกนำไปใช้ขุด Monero แล้ว

ยืนยันการพบช่องโหว่โจมตีในระบบ macOS ที่เปิดเผยสู่สาธารณะแล้ว

ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของเนเธอร์แลนด์ (NCSC) ได้อัปเดตคำแนะนำเมื่อวันที่ 12 สิงหาคม เพื่อยืนยันว่ามีการโจมตีช่องโหว่ CVE-2026-65400 ในหลายระบบที่มีพอร์ต 5900 เปิดให้เข้าถึงจากอินเทอร์เน็ต ในทุกกรณีที่รายงาน ผู้โจมตีได้รับสิทธิ์เข้าถึงระดับรูทและติดตั้งโปรแกรมขุด Monero ทางหน่วยงานไม่ได้เปิดเผยจำนวนเครื่อง Mac ที่ได้รับผลกระทบหรือระบุตัวผู้โจมตี

Apple ได้แก้ไขช่องโหว่ CVE-2026-65400 เมื่อวันที่ 6 สิงหาคม ใน macOS Tahoe เวอร์ชัน 26.6.1, Sequoia เวอร์ชัน 15.7.9 และ Sonoma เวอร์ชัน 14.8.9 โดยบริษัทระบุว่าเป็นช่องโหว่ด้านการตรวจสอบสิทธิ์ที่เกิดจากการจัดการสถานะที่ไม่เหมาะสม ซึ่งอาจทำให้ผู้โจมตีในเครือข่ายสามารถเข้าถึงการแชร์หน้าจอได้โดยไม่ต้องใช้ข้อมูลประจำตัวที่ถูกต้อง

บริษัทรักษาความปลอดภัย Huntress พบว่าช่องโหว่นี้ส่งผลกระทบต่อกระบวนการตรวจสอบสิทธิ์ด้วยรหัสผ่านระยะไกลที่ปลอดภัย (Secure Remote Password) ที่ใช้โดยฟีเจอร์การแชร์หน้าจอของ macOS การวิเคราะห์ของ Huntress แสดงให้เห็นว่าผู้โจมตีสามารถทำให้บริการดังกล่าวถือว่าการเชื่อมต่อที่ไม่ได้ตรวจสอบสิทธิ์นั้นได้รับการตรวจสอบสิทธิ์แล้ว และเข้าถึงสิทธิ์ระดับสูงได้

เนื่องจากการโจมตีเกิดขึ้นก่อนการตรวจสอบสิทธิ์ตามปกติ Huntress กล่าวว่าการเปลี่ยนรหัสผ่านการแชร์หน้าจอ การปิดใช้งานการตรวจสอบสิทธิ์ VNC แบบเก่า หรือการลบบัญชีผู้ใช้ที่ได้รับอนุญาต ไม่ได้แก้ไขช่องโหว่นี้ วิธีแก้ไขที่แนะนำคือการติดตั้งการอัปเดตความปลอดภัยล่าสุดของ Apple หรือปิดใช้งานการแชร์หน้าจอจนกว่าระบบจะได้รับการแก้ไข

เครื่อง Mac ที่ให้บริการโฮสติ้งหลายหมื่นเครื่องถูกเปิดเผยข้อมูล

ไรอัน ดาวด์ นักวิจัยจาก Huntress กล่าวว่า การค้นหาใน Censys พบว่ามี “โฮสต์ที่อาจมีความเสี่ยงหลายหมื่นเครื่อง” ตัวเลขประมาณการนี้ครอบคลุมเฉพาะเครื่อง Mac ที่ดูเหมือนจะเชื่อมต่อกับอินเทอร์เน็ต และไม่ควรตีความว่าเป็นการยืนยันการถูกโจมตีจริงหลายหมื่นเครื่อง

ความเสี่ยงนี้มีความเกี่ยวข้องอย่างยิ่งกับเครื่อง Mac ที่ให้บริการแบบ bare-metal ซึ่งรวมถึง Mac mini ที่เช่ามาใช้สำหรับการทำงานระยะไกล Huntress กล่าวว่า สภาพแวดล้อมการให้บริการบางแห่งเปิดเผยบริการ Screen Sharing บนเครื่องที่เพิ่งติดตั้งใหม่ ซึ่งเพิ่มพื้นที่การโจมตีเมื่อระบบยังไม่ได้รับการอัปเดตแพทช์ของ Apple ในวันที่ 6 สิงหาคม

ขณะนี้ช่องโหว่ดังกล่าวได้รับคะแนน CVSS ระดับวิกฤตที่ 9.8 จากการวิเคราะห์ช่องโหว่ของ CISA โดยไม่จำเป็นต้องมีสิทธิ์พิเศษหรือการโต้ตอบจากผู้ใช้ภายใต้การประเมินในปัจจุบัน ฐานข้อมูลช่องโหว่แห่งชาติแสดงให้เห็นว่า CISA ได้ปรับเพิ่มคะแนนขึ้นเมื่อวันที่ 14 สิงหาคม หลังจากที่ได้ให้คะแนนความรุนแรงในระดับที่ต่ำกว่าในตอนแรก

โครงสร้างพื้นฐานที่ถูกบุกรุกถูกนำมาใช้เพื่อโจรกรรมคริปโตเคอร์เรนซี

กรณีในเนเธอร์แลนด์เกี่ยวข้องกับการโจรกรรมคริปโตเคอร์เรนซีมากกว่าการขโมยข้อมูลประจำตัวกระเป๋าเงินดิจิทัลตามที่รายงาน ผู้โจมตีใช้ทรัพยากรการประมวลผลของเครื่อง Mac ที่ถูกเจาะระบบเพื่อขุด Monero หลังจากได้รับสิทธิ์ควบคุมระดับสูงสุดแล้ว NCSC ยังไม่ได้เปิดเผยซอฟต์แวร์การขุด ที่อยู่พูล กระเป๋าเงินของผู้โจมตี หรือผลกำไรจาก XMR ที่ได้จากการขุด

Monero ปรากฏอยู่ในการโจมตีแบบ cryptojacking บ่อยครั้ง เนื่องจากสามารถขุดได้โดยใช้ฮาร์ดแวร์คอมพิวเตอร์ทั่วไป ในขณะเดียวกัน Monero (XMR) ซื้อขายอยู่ที่ประมาณ 414 ดอลลาร์ ณ เวลาที่รายงานข่าว ซึ่งบ่งชี้ว่าเพิ่มขึ้นน้อยกว่า 1% ในช่วง 24 ชั่วโมงที่ผ่านมา และเกือบ 5% ในช่วง 7 วันที่ผ่านมา 

การแก้ไขปัญหาและแนวโน้มในอนาคต

สิ่งสำคัญเร่งด่วนในขณะนี้คือการแก้ไขช่องโหว่ในเครื่อง Mac ที่ใช้งาน Sonoma, Sequoia และ Tahoe เวอร์ชันที่มีช่องโหว่ ระบบที่เชื่อมต่อกับอินเทอร์เน็ตโดยตรงผ่านการแชร์หน้าจอมีความเสี่ยงที่ชัดเจนที่สุด แม้ว่า Huntress จะแนะนำให้ทำการอัปเดตเครื่อง Mac แม้ว่าผู้ดูแลระบบจะเชื่อว่าบริการดังกล่าวถูกปิดใช้งานแล้วก็ตาม

ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของเนเธอร์แลนด์ (NCSC) ยืนยันการโจมตีแล้ว แต่ยังไม่ได้ระบุผู้กระทำการหรือเผยแพร่ข้อมูลบ่งชี้โครงสร้างพื้นฐานการขุด Monero การเปิดเผยข้อมูลเพิ่มเติมจากผู้ตอบสนองเหตุการณ์อาจช่วยชี้แจงได้ว่าการโจมตีแพร่กระจายไปในวงกว้างเพียงใดก่อนที่ Apple จะแก้ไขปัญหาในวันที่ 6 สิงหาคม