Schwere Mac-Sicherheitslücke ausgenutzt: Rechner für Kryptomining gekapert

Hacker haben eine schwerwiegende Sicherheitslücke in Apple-Macs aktiv ausgenutzt, um Computer aus der Ferne zu übernehmen. Nach dem Eindringen installierten sie Software, die die Rechenleistung der Macs zum Mining von Monero (XMR) nutzte. Das niederländische Nationaal Cyber Security Centrum (NCSC) warnt vor den Angriffen.

Apple hat inzwischen Sicherheitsupdates veröffentlicht. Macs, auf denen dieses Update noch fehlt, können weiterhin anfällig sein – vor allem dann, wenn die Bildschirmfreigabe aktiviert ist und das Gerät aus dem Internet erreichbar ist.

Apple schließt schwere Sicherheitslücke in macOS

Beim NCSC gingen mehrere Meldungen über Macs ein, auf denen Angreifer ohne Zustimmung Miningsoftware installiert hatten. Wie viele Computer tatsächlich betroffen sind und wer hinter den Angriffen steckt, wurde nicht bekanntgegeben.

Apple behob die Schwachstelle am 6. August. Geschlossen wurde die Lücke in macOS Tahoe 26.6.1, Sequoia 15.7.9 und Sonoma 14.8.9.

Das Problem lag in der Bildschirmfreigabe. Mit dieser Funktion kann jemand von einem anderen Computer aus den Bildschirm eines Macs einsehen und das Gerät aus der Ferne steuern. Standardmäßig ist die Bildschirmfreigabe deaktiviert, sie wird jedoch etwa von Unternehmen und Systemadministratoren genutzt, um Macs an anderen Standorten zu verwalten.

Über die Sicherheitslücke konnten Hacker die Prüfung umgehen, die normalerweise festlegt, ob jemand eine Verbindung herstellen darf. In bestimmten Fällen erhielten sie dadurch ohne gültiges Passwort Zugriff auf einen verwundbaren Mac.

Das Sicherheitsunternehmen Huntress untersuchte die Schwachstelle und betont, dass es nicht ausreicht, das Passwort für die Bildschirmfreigabe zu ändern oder zu entfernen. Das Problem liegt demnach in der Art, wie der Mac prüft, ob eine Verbindung erlaubt ist. Um die Lücke tatsächlich zu schließen, muss das Sicherheitsupdate von Apple installiert werden.

Das mögliche Ausmaß ist erheblich. Huntress-Forscher Ryan Dowd fand über den Suchdienst Censys Zehntausende Systeme, die potenziell anfällig waren. Censys erfasst Geräte, die direkt aus dem Internet erreichbar sind.

Das bedeutet nicht, dass all diese Systeme tatsächlich gehackt wurden. Es zeigt jedoch, wie viele Geräte dem Risiko möglicherweise ausgesetzt waren.

Auch in den USA gilt die Lücke als schwerwiegend. Die Cybersecurity and Infrastructure Security Agency (CISA) bewertete die Schwachstelle zunächst mit 7,1 von zehn Punkten. Die amerikanische National Vulnerability Database registrierte später einen Wert von 9,8 und damit ein Niveau nahe der höchstmöglichen Risikostufe.

Hacker nutzen Macs für Monero-Mining

Nach dem Eindringen nutzten die Angreifer ihren Zugriff, um Software für Krypto-Mining zu installieren. Anschließend wurden die betroffenen Macs zum Mining von Monero eingesetzt.

Die heimliche Nutzung fremder Computer für Krypto-Mining wird als Cryptojacking bezeichnet. Die Erträge fließen an den Angreifer, während der Eigentümer die Folgen trägt.

Ein infizierter Mac kann dadurch langsamer werden, mehr Strom verbrauchen und stärker belastet werden. Für Hacker wird diese Methode vor allem dann interessant, wenn sie eine große Zahl von Computern gleichzeitig übernehmen können. Jeder einzelne Computer liefert Rechenleistung, mit der gemeinsam XMR erwirtschaftet werden kann.

Monero eignet sich für solche Angriffe, weil XMR mit gewöhnlicher Computerhardware gemined werden kann. Zudem ist der Coin stark auf Privatsphäre ausgerichtet, wodurch Transaktionen schwerer nachzuverfolgen sind.

Für Mac-Nutzer ist die wichtigste Maßnahme daher die Installation des neuesten Sicherheitsupdates. Besonders Privatpersonen und Unternehmen, die die Bildschirmfreigabe nutzen und ihren Mac aus dem Internet erreichbar gemacht haben, gehen ohne dieses Update ein Risiko ein.