Κρίσιμη ευπάθεια macOS σε ενεργή εκμετάλλευση

Οι ολλανδικές αρχές ασφάλειας προειδοποιούν ότι μια σοβαρή ευπάθεια στο macOS εκμεταλλεύεται ήδη επιτιθέμενοι για να εκτελέσουν κακόβουλο κώδικα και να πάρουν πλήρη έλεγχο των μηχανημάτων. Στα περιστατικά που αναφέρθηκαν, τα θύματα είχαν εκτεθειμένους στο Διαδίκτυο την υπηρεσία κοινής οθόνης, με αποτέλεσμα την εγκατάσταση ενός miner κρυπτονομισμάτων και την ανάληψη root δικαιωμάτων.

Η ευπάθεια, καταχωρημένη ως CVE-2026-65400, διορθώθηκε πρόσφατα από την Apple σε ενημερώσεις για τα macOS Tahoe, Sequoia και Sonoma. Ωστόσο, η ανακοίνωση του εθνικού κέντρου κυβερνοασφάλειας της Ολλανδίας και η δημοσιοποίηση τεχνικών λεπτομερειών στο Black Hat οδήγησαν σε άμεση ενεργή εκμετάλλευση, κάτι που την καθιστά απειλή με πρακτικό αντίκτυπο τώρα, όχι απλώς θεωρητικό.

Τι ανακοινώθηκε και γιατί πρέπει να σας προβληματίζει

Το NCSC της Ολλανδίας ανέφερε ότι εντόπισε επιθέσεις σε πολλά συστήματα τα οποία είχαν την θύρα 5900 προσβάσιμη από το Διαδίκτυο — την προκαθορισμένη θύρα για VNC και υπηρεσίες screen sharing. Σε όλες τις περιπτώσεις οι εισβολείς κατάφεραν να αποκτήσουν root πρόσβαση και να εγκαταστήσουν έναν miner για το κρυπτονόμισμα Monero, που αποτελεί συνηθισμένο payload σε opportunistic επιθέσεις λόγω της ανωνυμίας και της ανθεκτικότητας του.

Η Apple κυκλοφόρησε επιδιορθώσεις την προηγούμενη εβδομάδα, αναφέροντας ότι η ευπάθεια «may» επιτρέπει την πρόσβαση χωρίς διαπιστευτήρια — μία επιφυλακτική διατύπωση που οι εταιρείες συχνά χρησιμοποιούν όταν περιγράφουν την πιθανή έκταση του προβλήματος. Παρά την επιδιόρθωση, το γεγονός ότι οι τεχνικές λεπτομέρειες και βίντεο επίδειξης εμφανίστηκαν στο Black Hat επιτάχυνε την εκμετάλλευση από επιτιθέμενους που σαρώσουν για εκτεθειμένες υπηρεσίες.

Πώς λειτουργεί τεχνικά η ευπάθεια

Η ρίζα του προβλήματος βρίσκεται στη λειτουργία κοινής οθόνης (screen sharing), που επιτρέπει σε έναν απομακρυσμένο χρήστη να βλέπει και να ελέγχει το πληκτρολόγιο και το ποντίκι του συστήματος. Συγκεκριμένα, το σφάλμα σχετίζεται με την «διαχείριση κατάστασης» (state management) της υπηρεσίας — δηλαδή τον τρόπο με τον οποίο το σύστημα παρακολουθεί προηγούμενες ενέργειες, μεταβλητές και θεμελιώδεις καταστάσεις του πρωτοκόλλου.

Ένα ελαττωματικό state management μπορεί να επιτρέψει σε έναν απομακρυσμένο client να παρακάμψει τους ελέγχους ταυτότητας ή να προκαλέσει ανεπιθύμητες καταστάσεις που οδηγούν σε εκτέλεση κώδικα με υψηλά προνόμια. Σε πρακτικό επίπεδο, αν η θύρα 5900 είναι προσβάσιμη από το Διαδίκτυο και η υπηρεσία screen sharing επιτρέπεται, ένας μη εξουσιοδοτημένος χρήστης μπορεί να συνδεθεί, να αποκτήσει συνεδρία και, βάσει της συγκεκριμένης ευπάθειας, να καταφέρει άνοδο προνομίων σε root.

Ποιοι χρήστες και συστήματα είναι πιο εκτεθειμένοι

Κατά κύριο λόγο κινδυνεύουν συστήματα που τρέχουν τις πληγείσες εκδόσεις macOS και έχουν ενεργοποιημένη ή εκτεθειμένη την υπηρεσία screen sharing ή remote management. Αυτό έχει ιδιαίτερη σημασία σε περιβάλλοντα όπου οι διαχειριστές έχουν ανοίξει θύρες για απομακρυσμένη διαχείριση, αλλά και σε οικιακούς χρήστες που έχουν κάνει forward τη θύρα 5900 στο router για να συνδέονται από εξωτερικά δίκτυα.

Επιχειρήσεις με εργαλεία MDM, ομάδες IT που χρησιμοποιούν Apple Remote Desktop ή επιχειρήσεις με πολιτικές απομακρυσμένης πρόσβασης μπορεί να είναι σε μεγαλύτερο ρίσκο αν δεν ελέγχονται οι ρυθμίσεις δικτύου και δεν εφαρμόζονται κανόνες firewall που περιορίζουν την πρόσβαση μόνο σε έμπιστα εσωτερικά δίκτυα ή VPN.

Τι κάνουν οι επιτιθέμενοι και γιατί επιλέγουν Monero

Στην αναφερόμενη εκμετάλλευση, το τελικό payload ήταν ένας miner Monero. Η χρήση cryptominer ως πρώτο payload είναι τακτική για επιθέσεις που στοχεύουν γρήγορο οικονομικό όφελος χωρίς απαραίτητα την ανάγκη προηγμένης διατήρησης πρόσβασης (persistence). Οι επιτιθέμενοι σαρώσουν το Διαδίκτυο για εκτεθειμένες θύρες και αυτοματοποιούν την εκμετάλλευση ώστε να εγκαταστήσουν miner σε όσο το δυνατόν περισσότερα μηχανήματα.

Η εγκατάσταση miner συχνά συνοδεύεται από ανεπιθύμητες παρενέργειες: υψηλή χρήση CPU/GPU, αυξημένη κατανάλωση ισχύος, πιθανή φθορά hardware, και ανοίγματα για περαιτέρω επιθέσεις αν οι εισβολείς εγκαταστήσουν επιπλέον backdoors. Σε πιο στοχευμένες επιθέσεις, η ίδια ευπάθεια θα μπορούσε να χρησιμοποιηθεί για κλοπή δεδομένων, εγκατάσταση ransomware ή δημιουργία μόνιμης πρόσβασης.

Εδώ και τώρα: πρακτικά βήματα που πρέπει να κάνετε

Το πρώτο και πιο κρίσιμο βήμα είναι να εφαρμόσετε τις ενημερώσεις ασφαλείας που έβγαλε η Apple για τα macOS Tahoe, Sequoia και Sonoma. Η ενημέρωση του λειτουργικού είναι συνήθως ο πιο αξιόπιστος τρόπος να κλείσετε το συγκεκριμένο κενό.

Επιπλέον, ακολουθήστε αυτά τα μέτρα για να περιορίσετε την επιφάνεια επίθεσης και να ελέγξετε αν έχετε ήδη προσβληθεί:

• Απενεργοποιήστε προσωρινά το Screen Sharing και το Remote Management από System Settings → General → Sharing, ή από System Preferences → Sharing σε παλιότερες εκδόσεις.
• Κλείστε ή μπλοκάρετε τη θύρα 5900 στο router/NAT και σε τυχόν firewall που έχετε. Αποτρέψτε την άμεση πρόσβαση από το Διαδίκτυο.
• Ενεργοποιήστε το macOS firewall και περιορίστε τις εισερχόμενες συνδέσεις μόνο σε αναγκαίες εφαρμογές.
• Αλλάξτε κωδικούς και επαληθεύστε ότι δεν υπάρχουν μη εξουσιοδοτημένοι χρήστες. Χρησιμοποιήστε ισχυρούς, μοναδικούς κωδικούς και όπου είναι δυνατόν 2FA.
• Ελέγξτε το Activity Monitor για ασυνήθιστα υψηλή χρήση CPU και εντοπίστε μη γνωστές διεργασίες. Ελέγξτε τα logs και χρησιμοποιήστε antivirus/EDR για ανίχνευση miner.
• Αν υποπτεύεστε παραβίαση, αποσυνδέστε το μηχάνημα από το δίκτυο, συλλέξτε logs και, σε σοβαρές περιπτώσεις, επανεγκαταστήστε το σύστημα από καθαρό αντίγραφο.

Για πιο τεχνικούς χρήστες, εντολές όπως sudo lsof -iTCP:5900 -sTCP:LISTEN βοηθούν να δείτε αν υπάρχει υπηρεσία που ακούει στη θύρα 5900 τοπικά. Όμως, για τους περισσότερους χρήστες, οι GUI ρυθμίσεις και η άμεση εφαρμογή ενημερώσεων είναι αρκετές και πιο ασφαλείς.

Τι πρέπει να κάνουν οι επιχειρήσεις και οι διαχειριστές

Οι οργανισμοί πρέπει να αντιδράσουν με προτεραιότητα: άμεσο patching, κανονισμούς για απομακρυσμένη πρόσβαση και έλεγχο δικτύου. Οι εταιρείες που επιτρέπουν απομακρυσμένη διαχείριση πρέπει να περιορίσουν την πρόσβαση σε συγκεκριμένες IP διευθύνσεις, να απαιτούν σύνδεση μέσω VPN με έλεγχο ταυτότητας και να επιβάλουν endpoint detection and response (EDR).

Επιπλέον, είναι σημαντικό να γίνει hunting για ενδείξεις παραβίασης (IOC), όπως άγνωστες διεργασίες, ασυνήθιστη χρήση πόρων, επιπλέον χρήστες με δικαιώματα ή τροποποιημένα κλειδιά. Η χρήση MDM επιτρέπει να απενεργοποιηθούν οι υπηρεσίες screen sharing μαζικά και να εφαρμοστούν διορθωτικοί κανόνες χωρίς να απαιτείται τοπική παρέμβαση σε κάθε μηχάνημα.

Τι σημαίνει αυτό για τους χρήστες — ευρύτερος αντίκτυπος

Η ενεργή εκμετάλλευση αυτής της ευπάθειας αναδεικνύει ένα διαρκές πρόβλημα: η ευκολία απομακρυσμένης διαχείρισης και η ανάγκη για άμεση πρόσβαση συχνά έρχονται σε σύγκρουση με την ασφάλεια. Όσο περισσότερες υπηρεσίες είναι ανοιχτές στο Διαδίκτυο χωρίς κατάλληλο έλεγχο, τόσο μεγαλύτερη η πιθανότητα αυτοματοποιημένων επιθέσεων. Η τάση για απομακρυσμένη εργασία και διαχείριση επιβαρύνει την κατάσταση αν οι ρυθμίσεις δεν έχουν σχεδιαστεί με ασφάλεια από την αρχή.

Ταυτόχρονα, η δημοσιοποίηση τεχνικών λεπτομερειών και βίντεο επίδειξης σε συνέδρια σαν το Black Hat υπογραμμίζει το διπλό πρόσωπο της αποκάλυψης: αυξάνει την πίεση για άμεσο patching, αλλά δίνει και οδηγίες σε κάποιον με κακές προθέσεις. Αυτό κάνει πιο επιτακτική την ανάγκη για γρήγορη εφαρμογή διορθώσεων και για εξορθολογισμό των πολιτικών πρόσβασης.

Στο τέλος, για τον μέσο χρήστη και τον οργανισμό, το μήνυμα είναι σαφές: ενημερώστε τα συστήματα, περιορίστε την έκθεση στο Διαδίκτυο, και μην υποτιμάτε τις βασικές ρυθμίσεις ασφαλείας. Η τεχνολογία πρέπει να εξυπηρετεί την παραγωγικότητα, όχι να γίνεται πηγή κινδύνου επειδή μια υπηρεσία ήταν «βολική» αλλά ανασφαλής.