macOS 屏幕共享漏洞遭黑客利用挖掘 Monero：Mac 设备应立即进入安全应急流程

2026年8月17日，Inc.com 报道称，黑客正在主动利用一个关键 Mac 漏洞进行加密货币挖矿，并提醒用户立即更新设备。同日，DailyCoin 将问题进一步指向 macOS 的屏幕共享漏洞，攻击者利用受影响设备挖掘 Monero。现有素材没有披露漏洞编号、具体受影响系统版本、攻击规模、入侵指标或受害设备数量，但“正在被主动利用”已经足以触发高优先级处置，而不应等待更多技术细节公开后再行动。

从安全应急负责人的角度看，这不是一次普通的电脑性能故障。Mac 一旦在用户不知情的情况下持续执行挖矿任务，就意味着系统资源已经被外部控制，设备上保存的钱包、交易平台会话、API 凭据和工作文件也必须被纳入风险排查范围。

已知事实有限，但不妨碍立即升级

根据两则报道目前明确提供的信息，可以确认三个核心事实：受影响对象是 Mac 或 macOS 设备；问题与屏幕共享漏洞有关；黑客已经在真实环境中利用该漏洞挖掘 Monero。

目前不能据此推断所有开启屏幕共享功能的 Mac 都已被攻陷，也不能自行扩大到某个特定 macOS 版本。素材同样没有说明攻击者是否还会窃取文件、截取钱包信息或安装其他恶意程序。因此，应急通报需要把“已经确认”和“尚待确认”分开，避免用未经证实的攻击链制造恐慌。

不过，主动利用与理论漏洞有本质区别。理论漏洞可以进入常规修复周期，已经发生利用的漏洞则意味着攻击者具备可执行路径。企业如果仍把系统更新安排在月底维护窗口，就可能继续暴露一段不必要的时间。

Mac 用户应从系统自带的软件更新入口检查并安装可用安全更新，不要通过搜索广告、聊天群链接或陌生下载站寻找所谓补丁。安装前可以完成必要备份，但备份不能成为延迟修复的理由。更新完成后还要确认设备确实运行在更新后的状态，而不是只完成下载、尚未重启或安装失败。

挖矿进程只是告警，不是事件边界

加密货币挖矿通常会带来持续的 CPU 占用、设备发热、风扇高速运转、耗电增加和系统响应变慢。这些现象可以帮助发现异常，却不能单独证明设备因本次漏洞遭到攻击。视频处理、开发编译和本地模型运行同样可能产生高负载。

反过来，没有明显卡顿也不能证明安全。攻击者可能控制资源消耗，或者只在设备空闲时执行任务。因此，企业不能把“机器是否发烫”作为唯一筛查条件，更不能在结束可疑进程后就宣布事件关闭。

真正需要回答的是：异常程序如何进入系统，是否建立了持续运行机制，使用了什么权限，连接过哪些外部地址，以及同一账号或同一管理策略覆盖下是否还有其他设备出现类似活动。由于现有报道没有公布文件哈希、域名、地址或进程名称，安全团队不应自行编造特征进行全网封禁，而应优先利用本组织已有的终端日志寻找偏离基线的行为。

可以重点核查近期突然出现的高资源占用进程、来源不明的启动项、异常登录记录、屏幕共享相关设置变化，以及不符合业务需要的持续外联。发现可疑对象时，应记录进程路径、启动时间、父进程、签名状态和网络连接，再决定隔离与清除方式。

加密团队要把 Mac 当作密钥工作环境处置

对普通办公终端而言，非法挖矿首先表现为资源被盗用；对区块链团队而言，同一台 Mac 还可能承载钱包操作、交易所登录、节点管理、代码签名或云服务访问。即使当前报道只确认挖掘 Monero，也不能因为暂未出现资产损失就降低事件等级。

如果受影响设备曾保存助记词、私钥文件，或曾用于硬件钱包配套操作，应先停止在该设备上继续签名和转账。不要急于在疑似失陷的系统中修改全部密码，因为新的凭据仍可能暴露。更稳妥的做法是使用经过确认的干净设备，优先处理邮箱、身份认证、交易平台、代码仓库和云控制台等关键账号。

对于能够转移权限或资产的账户，应检查近期登录与授权记录，撤销不再需要的会话和访问令牌。是否需要迁移链上资产，应根据设备实际接触过的密钥材料、异常发生时间和取证结果决定，而不能仅凭挖矿迹象仓促操作。涉及团队金库或多签账户时，还应由独立人员复核目标地址与交易内容，避免在应急压力下引入新的转账风险。

企业处置应分为更新、排查和隔离三条线

第一条线是资产识别与更新。终端管理团队需要尽快确认组织内受管和未受管 Mac 的范围，统计哪些设备存在可用更新、哪些尚未完成安装。远程办公设备也不能遗漏，尤其要关注长期不接入公司网络、无法持续接收管理策略的终端。

第二条线是行为排查。安全团队应围绕资源异常、持久化配置、身份活动和网络连接建立检索条件，并与设备平时的使用模式比较。对于研发、设计等原本就有高负载任务的岗位，需要结合进程来源和执行时间判断，避免把正常工作统一认定为挖矿。

第三条线是疑似设备隔离。确认存在异常活动后，应限制设备继续访问内部系统，同时保留必要证据。直接关机、删除文件或重装系统虽然看似迅速，却可能破坏进程、连接和时间线信息。若业务允许，可先断开不必要的网络访问，保存终端告警、系统日志、进程信息和账号活动记录，再进行清除或重建。

屏幕共享功能也应按业务需要重新核对。没有远程协作需求的设备，不应长期保留不必要的远程入口；确有需求的设备，则应限制可访问主体，并检查相关权限是否符合预期。关闭功能不能代替系统更新，因为规避单一入口并不等同于完成漏洞修复。

恢复生产前，必须确认风险没有随账号扩散

清除挖矿程序不是恢复完成的标准。设备重新接入生产网络前，至少要确认安全更新已经生效，可疑持久化项目已得到处理，关键账号的活动记录完成核查，必要的凭据已经在干净环境中轮换。

如果多台设备出现相似异常，还需要寻找共同点，例如是否采用同一远程访问配置、是否由同一个账号管理，或是否处于同一设备管理范围。现有素材不足以说明攻击是否存在横向移动，因此不能直接认定内部网络已经扩散；但忽略账号和管理面的关联，也可能让团队只修复表面症状。

此次事件给区块链企业的直接提醒是，挖矿木马不能被归类为单纯的性能问题。发现一台 Mac 被用于挖掘 Monero，首先说明设备执行了未经授权的计算任务；随后必须继续查明控制权、权限与凭据是否受到影响。在漏洞编号、受影响版本和公开入侵指标尚不完整时，最可靠的策略不是猜测攻击细节，而是立即安装可信更新、排查异常行为、隔离疑似终端，并在干净设备上保护关键账户与链上权限。

参考消息

• Inc.com：Update Your Mac Now: Hackers Are Actively Exploiting a Critical Flaw to Mine Crypto

https://news.google.com/rss/articles/CBMiwwFBVV95cUxNcU4xZGNaX3p5Qk82WTE1YkhXLVVGamE4Y05ROXJPSFpFcXg5aTlSMmU4S1VzZTVsZ1MxejdxWlJYWFpJX3E0eTJjSmRpNW81bE9leTZ2Y284dHlSRkxqM0VIUVBGZlhOM2ZldWdFaHhVMUstS2xVamdONmMwY1d6Y3JvcDBTOHhfekIwZW1fSFhPR3F1T0R4Z1RBaDRzVlRrWW1aX1JwV0VXU2xMM3pDNG8tcWx1ZWN0SU1TZFlOWWdjSWc?oc=5

• DailyCoin：Hackers Exploit macOS Screen Sharing Bug to Mine Monero

https://news.google.com/rss/articles/CBMihAFBVV95cUxQekNhY1ZuM0d6aEdWTERZVjdvT3FHZHBDS0F1b2ZSTmFlVzVqeGNadm9aQ1lsUnItSmxaZUR4U3RvUlRvSVZIaW93bDN5NjZLU25XNzhMaFRDdF9wSnV3dC11WU00OGtPemJEU0xyWk8yOExWWEpWNlpvTFM3MEwwVExBR1Y?oc=5