Ernstig Mac-lek misbruikt: computers gekaapt voor cryptomining

Hackers hebben een ernstig beveiligingslek in Apple Macs actief misbruikt om computers op afstand over te nemen. Eenmaal binnen installeerden ze software waarmee de rekenkracht van de Mac werd gebruikt om Monero (XMR) te minen. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) waarschuwt voor de aanvallen.

Apple heeft inmiddels beveiligingsupdates uitgebracht. Macs waarop deze update nog ontbreekt kunnen kwetsbaar blijven, vooral wanneer schermdeling is ingeschakeld en het apparaat vanaf het internet bereikbaar is.

Apple dicht ernstig beveiligingslek in macOS

Het NCSC ontving meerdere meldingen van Macs waarop aanvallers zonder toestemming miningsoftware hadden geïnstalleerd. Hoeveel computers daadwerkelijk zijn getroffen en wie achter de aanvallen zit, is niet bekendgemaakt.

Apple verhielp de kwetsbaarheid op 6 augustus. Het lek is gedicht in macOS Tahoe 26.6.1, Sequoia 15.7.9 en Sonoma 14.8.9.

Het probleem zat in schermdeling. Met deze functie kan iemand vanaf een andere computer het scherm van een Mac bekijken en het apparaat op afstand bedienen. Schermdeling staat standaard uit, maar wordt bijvoorbeeld door bedrijven en systeembeheerders gebruikt om Macs op andere locaties te beheren.

Via het beveiligingslek konden hackers de controle omzeilen die normaal bepaalt of iemand toestemming heeft om verbinding te maken. In bepaalde gevallen konden zij daardoor zonder geldig wachtwoord toegang krijgen tot een kwetsbare Mac.

Beveiligingsbedrijf Huntress onderzocht de kwetsbaarheid en benadrukt dat alleen het veranderen of verwijderen van het wachtwoord voor schermdeling niet helpt. Het probleem zit namelijk in de manier waarop de Mac controleert of een verbinding is toegestaan. De beveiligingsupdate van Apple moet worden geïnstalleerd om het lek daadwerkelijk te dichten.

De mogelijke omvang is groot. Huntress-onderzoeker Ryan Dowd vond via zoekdienst Censys tienduizenden systemen die mogelijk kwetsbaar waren. Censys brengt apparaten in kaart die rechtstreeks vanaf het internet bereikbaar zijn.

Dat betekent niet dat al deze systemen daadwerkelijk zijn gehackt. Wel laat het zien hoeveel apparaten mogelijk aan het risico waren blootgesteld.

Ook in de Verenigde Staten wordt het lek als ernstig beschouwd. De Cybersecurity and Infrastructure Security Agency (CISA) gaf de kwetsbaarheid aanvankelijk een score van 7,1 op tien. De Amerikaanse National Vulnerability Database registreerde later een score van 9,8, dicht bij het hoogst mogelijke risiconiveau.

Hackers gebruiken Macs voor Monero-mining

Na het binnendringen gebruikten de aanvallers hun toegang om software voor crypto mining te installeren. Vervolgens draaiden de getroffen Macs mee in het minen van Monero.

Het stiekem gebruiken van andermans computer voor cryptomining wordt cryptojacking genoemd. De aanvaller ontvangt de opbrengsten, terwijl de eigenaar achterblijft met de gevolgen.

Een geïnfecteerde Mac kan daardoor trager worden, meer stroom verbruiken en zwaarder worden belast. Voor hackers wordt de methode vooral interessant wanneer ze grote aantallen computers tegelijk weten over te nemen. Iedere afzonderlijke computer levert rekenkracht waarmee gezamenlijk XMR kan worden verdiend.

Monero is geschikt voor dit soort aanvallen omdat XMR met reguliere computerhardware kan worden gemined. De cryptomunt is daarnaast sterk gericht op privacy, waardoor transacties moeilijker te volgen zijn.

Voor Mac-gebruikers is de belangrijkste maatregel daarom het installeren van de nieuwste beveiligingsupdate. Vooral mensen en bedrijven die schermdeling gebruiken en hun Mac vanaf het internet bereikbaar hebben gemaakt, lopen zonder die update risico.