Compartilhamento de tela no Mac: sua senha não adianta nada aqui

A Apple raramente lança uma atualização que corrija exatamente uma falha. Em 6 de agosto, isso aconteceu. O macOS Tahoe 26.6.1, o Sequoia 15.7.9 e o Sonoma 14.8.9 foram lançados com uma única entrada no documento de segurança, classificada sob “Compartilhamento de Tela”.

A descrição da própria Apple é sucinta: um invasor na rede pode conseguir se autenticar no Compartilhamento de Tela sem credenciais válidas. Sem senha, sem privilégios. Doze dias depois, a CISA adicionou a falha ao seu catálogo de vulnerabilidades ativamente exploradas e concedeu às agências federais dos EUA três dias para aplicar a correção.

Por que a senha não ajuda

O Compartilhamento de Tela é o recurso que permite visualizar e controlar um Mac à distância. Ao ativá-lo, normalmente você escolhe quem pode se conectar e define uma senha. É exatamente aí que reside a falsa sensação de segurança. A falha ocorre antes da autenticação.

Alterar a senha, remover usuários da lista, desativar o login VNC legado: nada disso faz diferença, e as empresas de segurança Huntress e MacStadium afirmam isso com as mesmas palavras. Existem exatamente duas soluções: a atualização ou desativar o recurso.

De 7,1 a 9,8

No dia da atualização, a falha foi classificada como de gravidade média. A pontuação inicial foi de 7,1 em 10 e pressupunha que um invasor já possuísse privilégios no sistema. Em 14 de agosto, a CISA corrigiu essa informação. A exigência de privilégios foi retirada, os níveis de integridade e disponibilidade saltaram para “alto”, e a pontuação subiu para 9,8. Quatro dias depois, surgiu a entrada no catálogo de vulnerabilidades exploradas ativamente, com uma observação de que o ataque pode ser automatizado.

Vale a pena notar o que a Apple não menciona. Todos os três documentos de segurança carecem da menção habitual sobre um relato de exploração ativa. Esses relatos vieram de outras fontes: primeiro do NCSC holandês e, em seguida, da Microsoft.

Um roteador doméstico não o isenta automaticamente do risco

A maioria dos relatórios afirma que as máquinas em risco são aquelas com a porta 5900 aberta para a internet. Isso se aplica aos ataques observados até o momento. Não se aplica à falha em si. A Apple menciona um invasor na rede, e o MacStadium interpreta isso como significando qualquer pessoa que consiga acessar o serviço.

Isso inclui, portanto, alguém na mesma rede Wi-Fi, um dispositivo infectado na sua rede doméstica ou um visitante na rede da empresa. Para você, isso significa o seguinte: o roteador doméstico protege você contra scanners na internet, desde que você não tenha configurado o encaminhamento de porta. Ele não o protege contra o laptop que alguém traz consigo.

40.000 Macs expostos, e a maioria deles é residencial

O pesquisador de segurança Pedro Vilaça realizou uma varredura em busca de máquinas expostas no início de agosto. Cerca de 40.000 serviços de Compartilhamento de Tela acessíveis, quase metade deles nos EUA. A parte mais interessante é sua nota de rodapé: a maioria delas são conexões residenciais.

Não se trata, principalmente, de servidores. São Macs pertencentes a pessoas que configuraram o acesso remoto em algum momento e nunca mais se lembraram disso. Não há uma medição oficial com data de corte; o Huntress menciona dezenas de milhares sem especificar um número. A varredura de Vilaça é um único dado, não uma série.

A aplicação de patches não limpa uma máquina que já foi infectada

Em 18 de agosto, a Microsoft descreveu o que os invasores fazem assim que conseguem entrar. E isso sobrevive a qualquer atualização, pois não tem nada a ver com a falha.

A sequência após a invasão

De acordo com a Microsoft, os invasores enviam scripts e uma chave SSH para o Mac por meio do Compartilhamento de Tela e se configuram para obter acesso permanente. Em seguida, apagam o histórico e os registros, alteram as configurações do filtro de pacotes e instalam o minerador de Monero XMRig na versão 6.26.0.

O código é assinado ad hoc, colocado em um caminho oculto e disfarçado como com.apple.airportd, de modo que pareça um processo do sistema da Apple. Ele é iniciado por meio de um LaunchDaemon com KeepAlive, para que sobreviva a todas as reinicializações.

Ninguém fornece números. A Microsoft menciona um número limitado de dispositivos afetados; o NCSC holandês refere vários sistemas nos quais a porta 5900 estava acessível pela internet e, em todos os casos, foi obtido acesso de root. Ainda não se sabe se o ataque foi além da mineração de criptomoedas.

O que fazer agora

Primeiro, verifique se o Compartilhamento de Tela está ativado. O caminho passa pelo menu Apple, Configurações do Sistema, Geral na barra lateral e, em seguida, Compartilhamento. Ele fica bem abaixo na lista; é necessário rolar a tela. Se o botão estiver desativado, você não poderá prosseguir.

Em segundo lugar, verifique a opção “Gerenciamento Remoto” na mesma página. Trata-se da segunda rota remota para o mesmo Mac e deve estar desativada, a menos que o senhor a utilize deliberadamente. De qualquer forma, as duas não podem estar ativas ao mesmo tempo.

Em terceiro lugar, atualize. As únicas versões que corrigem a falha são 26.6.1, 15.7.9 e 14.8.9. Não há patch para o macOS Ventura e versões anteriores; portanto, desativar o recurso é a única opção nesses casos.

E se o senhor restaurar um Mac a partir de uma imagem de recuperação mais antiga, obterá uma versão vulnerável e precisará atualizá-la antes que o computador se conecte à rede pela primeira vez.

Em quarto lugar, se o seu Mac ficou conectado à rede com a porta aberta, a atualização por si só não é suficiente. É preciso revisar as chaves SSH e os LaunchDaemons, além de atualizar as credenciais. Se desejar ter certeza, apague tudo e reinstale.

Se o senhor realmente precisar de acesso remoto

Então isso não deve ficar à vista de todos. O conselho dos pesquisadores da Calif, que analisaram o patch, é breve: o melhor é desativar o Compartilhamento de Tela e, caso seja necessário mantê-lo ativado, proteja-o por meio de uma VPN ou de uma regra de firewall. Quanto ao número de configurações que as pessoas ativam uma vez e depois esquecem, veja o que o recurso de treinamento do ChatGPT não aborda.