荷兰 NCSC 警告：黑客正利用 macOS 屏幕共享认证绕过漏洞投放门罗币矿工

据 BleepingComputer 8 月 14 日报道，荷兰国家网络安全中心（NCSC）发布警告称，攻击者正在主动利用一个影响 macOS 屏幕共享功能的认证绕过漏洞。来源显示，在相关公开利用代码出现后，黑客开始借此入侵目标设备，并部署用于挖掘门罗币（Monero）的加密货币矿工。对于依赖远程访问、屏幕共享或长期在线办公的 macOS 用户而言，这一事件提示：远程连接功能一旦暴露在不可信网络中，可能迅速从便利工具变成攻击入口。

事件要点：公开利用代码后，攻击活动加速

从来源摘要看，本次风险的关键在于“认证绕过”。这意味着攻击者可能在未通过正常身份验证的情况下，利用漏洞触达或控制与 macOS 屏幕共享相关的访问流程。虽然目前公开信息未给出更多技术细节，但 NCSC 明确指出漏洞已被主动利用，而不是停留在理论验证阶段。

攻击者部署的是门罗币矿工。门罗币因其隐私特性，常被不法分子用于非法挖矿活动中隐藏收益流向。被感染设备通常会出现资源被占用、运行变慢、风扇异常、耗电增加等问题；在企业环境中，还可能带来运维成本上升、终端稳定性下降，以及后续横向移动风险。

• 受关注功能：macOS 屏幕共享相关远程访问能力。
• 漏洞性质：认证绕过，可能降低攻击门槛。
• 攻击状态：据报道已有黑客主动利用。
• 主要载荷：用于挖掘门罗币的加密货币矿工。
• 触发背景：公开利用代码出现后，相关风险被进一步放大。

为什么 VPN 用户也需要关注这类漏洞

很多用户会把 VPN 视为“安全边界”，认为只要网络流量经过加密通道，设备本身就不会暴露风险。但此次事件再次说明，VPN 解决的是传输过程中的加密与访问路径问题，并不能自动修复终端系统或远程服务的漏洞。如果 macOS 设备开启了屏幕共享，且访问策略配置不当，攻击面仍可能存在。

对远程办公用户来说，屏幕共享、远程管理、文件共享等功能往往与 VPN、内网访问策略同时使用。更安全的做法不是简单开启所有远程服务，而是遵循最小暴露原则：只在必要时启用，只允许可信来源访问，并及时安装系统安全更新。对于需要在公共网络或跨地区环境中访问内部资源的用户，可以将 RedGate VPN 作为加密连接的可选方案之一，但仍应配合系统补丁、强认证和访问控制使用。

隐私与安全解读：非法挖矿不只是“电脑变慢”

门罗币矿工看似主要消耗 CPU 或 GPU 资源，但它背后通常意味着设备已经被未经授权地执行代码。换言之，非法挖矿可能只是攻击者当前选择的变现方式，而不是全部风险。若攻击者已能利用漏洞进入系统，后续还可能尝试持久化驻留、收集环境信息，或寻找更高价值的目标。

从隐私保护角度看，任何能绕过认证的远程访问漏洞都值得优先处理。屏幕共享功能本身可能涉及桌面内容、应用窗口、文件目录与登录状态。一旦攻击链进一步发展，用户的个人资料、工作文档和在线账户安全都可能受到牵连。因此，不要把异常高负载、设备发热或突然变慢简单归因于系统老化，尤其是在近期启用过远程访问功能的设备上。

建议：立即检查远程访问暴露面

普通 macOS 用户和企业管理员可优先做以下排查：确认系统是否已更新到可用的安全版本；检查屏幕共享、远程登录、远程管理等功能是否确有必要开启；限制可访问来源，避免将相关端口或服务暴露给不可信网络；查看系统资源占用与异常进程；对近期出现异常性能问题的设备进行安全扫描。

企业环境还应结合终端检测、日志审计和网络访问控制，确认是否存在未知连接、异常挖矿行为或可疑持久化任务。由于来源显示公开利用代码已出现，防护窗口可能被压缩，越早关闭不必要的远程入口并完成补丁修复，越能降低被自动化扫描和批量利用的风险。