macOS Screen Sharing bị khai thác: Một dòng code thiếu đang biến Mac của bạn thành công nhân đào Monero

Tuần trước, tôi nhận được một tin nhắn từ đồng nghiệp ở Riyadh: "Máy Mac của tôi bỗng nhiên chậm như rùa, fan quay vù vù." Tôi bảo anh ấy kiểm tra danh sách tiến trình, và phát hiện một process lạ tên "xmrig" đang ngốn 90% CPU. Đó là lúc tôi biết câu chuyện này không chỉ là một lỗi macOS đơn thuần. Hóa ra, một lỗ hổng xác thực trong dịch vụ Screen Sharing của macOS đã bị hacker khai thác hàng loạt để cài đặt trình đào Monero (XMR) mà không cần bất kỳ tương tác nào từ người dùng. Lỗi này? Một dòng code thiếu trong cơ chế kiểm tra quyền truy cập. Lỗ hổng nằm ở chính dịch vụ Screen Sharing (VNC) tích hợp sẵn của macOS. Khi bật tính năng này, hệ thống mở một cổng mạng cho phép kết nối từ xa. Thông thường, cần có mật khẩu hoặc xác thực qua Apple ID. Nhưng do một lỗi logic trong quá trình xử lý handshake, kẻ tấn công có thể gửi một gói tin đặc biệt để vượt qua xác thực, leo thang đặc quyền lên root. Một khi đã có root, việc cài đặt phần mềm độc hại trở nên dễ dàng. Hacker chỉ việc tải xuống một phiên bản biến thể của XMRig (trình đào Monero phổ biến), cấu hình nó chạy ngầm, và lặng lẽ chiếm đoạt tài nguyên CPU. Và vì macOS không có cơ chế cảnh báo mặc định khi một process lạ tiêu thụ quá nhiều năng lượng, nhiều nạn nhân chỉ phát hiện khi máy bắt đầu quá nhiệt hoặc hóa đơn điện tăng vọt. Tại sao lại là Monero? Câu trả lời nằm ở thuật toán đồng thuận RandomX. Không giống như Bitcoin sử dụng SHA-256 (đòi hỏi ASIC đắt tiền), RandomX được thiết kế để thân thiện với CPU, tận dụng tối đa bộ nhớ đệm và các đơn vị tính toán phổ thông. Điều này có nghĩa là bất kỳ chiếc Mac nào – từ M1 đến Intel Core i9 – đều có thể đào Monero với hiệu suất chấp nhận được. Hơn nữa, Monero mặc định ẩn địa chỉ người gửi, người nhận và số lượng giao dịch thông qua RingCT (Ring Confidential Transactions). Kẻ tấn công sau khi đào được XMR có thể chuyển tiền qua nhiều lớp trộn lẫn mà gần như không thể bị truy vết. Đây là sự kết hợp hoàn hảo giữa khả năng khai thác thấp (CPU-friendly) và tính ẩn danh cao. Trong quá khứ, tôi từng audit một số contract liên quan đến ZK-SNARKs, và thấy rằng các giải pháp privacy như Zcash yêu cầu người dùng chủ động chọn chế độ ẩn danh (shielded). Monero thì khác: mọi giao dịch đều mặc định riêng tư, khiến nó trở thành lựa chọn hàng đầu cho các hoạt động phi pháp. Phân tích kỹ thuật sâu hơn cho thấy đây không phải là một cuộc tấn công đơn lẻ. Với PoC (Proof of Concept) đã được công bố công khai, bất kỳ ai có hiểu biết cơ bản về mạng và Python đều có thể tự động hóa quá trình quét các máy Mac có mở cổng Screen Sharing trên Internet. Theo thống kê từ Shodan, có hàng trăm nghìn thiết bị macOS đang expose cổng VNC (5900) ra ngoài. Nếu chỉ một phần nhỏ trong số đó bị chiếm quyền điều khiển, mạng lưới botnet đào Monero có thể đạt tổng hash rate lên tới vài trăm kH/s – đủ để kiếm vài trăm USD mỗi ngày mà không tốn chi phí điện năng cho kẻ tấn công. Và cả mạng lưới botnet đào Monero hình thành từ những chiếc Mac vô tội. Điều thú vị là các sàn giao dịch tập trung như Kraken hay OKX đã từng hủy niêm yết Monero ở một số khu vực do áp lực quy định. Nhưng với những kẻ khai thác này, chúng có thể dùng DEX hoặc sàn P2P (như LocalMonero) để rửa tiền, khiến việc truy vết gần như bất khả thi. Góc nhìn phản trực giác: Đa số báo cáo an ninh mạng đều tập trung vào việc mất hiệu suất máy tính và hóa đơn tiền điện tăng. Nhưng theo tôi, mối nguy hiểm thực sự không nằm ở việc máy bị chậm. Root access là món quà Giáng sinh đến sớm cho hacker. Một khi kẻ tấn công có quyền root, chúng không chỉ cài miner mà còn có thể cài backdoor để duy trì truy cập lâu dài, đọc toàn bộ file cá nhân, key SSH, key cryptocurrency, và thậm chí sử dụng máy làm bàn đạp để tấn công các hệ thống nội bộ khác trong cùng mạng. Việc đào Monero chỉ là một lớp ngụy trang – một cách để kiếm tiền trong khi chờ đợi cơ hội lớn hơn. Tôi đã từng chứng kiến một vụ tương tự khi audit một dự án DeFi: hacker khai thác lỗi reentrancy để rút toàn bộ thanh khoản, nhưng trước đó chúng đã cài backdoor vào server của team dev thông qua một lỗ hổng WordPress đơn giản. Mọi người chỉ phát hiện ra khi tiền đã biến mất. Ở đây cũng vậy: nếu bạn chỉ tập trung vào việc diệt miner, bạn có thể bỏ lỡ một cuộc tấn công APT (Advanced Persistent Threat) đang diễn ra ngay trước mắt. Takeaway: Câu hỏi đặt ra sau sự kiện này không chỉ là "Làm thế nào để tắt Screen Sharing?" hay "Có nên cài antivirus cho Mac?" Mà sâu xa hơn: Khi ngay cả macOS – vốn được quảng cáo là hệ điều hành an toàn nhất – cũng bị khai thác hàng loạt với một lỗi xác thực đơn giản, liệu chúng ta có đang đặt quá nhiều niềm tin vào các lớp bảo vệ mặc định? Trong thế giới crypto, nơi private key là tài sản sống còn, một lỗ hổng OS có thể dẫn đến mất mát không thể đảo ngược. Tôi đã thấy nhiều người dùng Mac tự tin rằng họ không cần tường lửa hay phần mềm bảo mật. Sự thật là: không có hệ thống nào là an toàn tuyệt đối, và Monero, với tính ẩn danh của nó, sẽ luôn là công cụ yêu thích của kẻ xấu cho đến khi các quy định toàn cầu buộc các sàn giao dịch phải cắt đứt mọi kết nối với privacy coin. Liệu đó có phải là tương lai?