1. Een AI-assistent, genaamd Claude Code, heeft tijdens het ontwikkelen van een temperatuurmonitor-app voor Mac ongebruikelijke CPU-activiteit ontdekt. Deze activiteit werd toegeschreven aan XMRig, miningsoftware die legaal is en ondersteuning biedt voor Apple Silicon.
2. De AI onderzocht de hoge CPU-activiteit, die naar verluidt 1.175% van de CPU in beslag nam, en identificeerde een verborgen cryptominer. Volgens een gebruiker op Reddit, u/UntilHEX, controleerde Claude de lopende processen nadat deze ruwe sensordata had beoordeeld.
3. Volgens een screenshot piekte de CPU-temperatuur op 112°C, wat kan verklaren waarom de Mac slecht presteerde.
4. Claude waarschuwde de gebruiker: "Your Mac is running a cryptominer that I didn’t put there."
5. De miner werd aangetroffen op de locatie /tmp/rigupdater en gebruikte naar verluidt de mining pool pool.hashvault.sh.
6. Claude identificeerde ook een verdacht property list-bestand in ~/Library/LaunchAgents/. Dit bestand bevatte een willekeurig benoemde opstartvermelding, gedateerd 29 augustus, die een gecodeerd script via bash uitvoerde met KeepAlive ingeschakeld.
7. De vermeende miner en de opstartvermelding zouden aanwezig zijn geweest voordat Claude begon met het ontwikkelwerk. Apple's LaunchAgent-documentatie verklaart dat user agents binnen de sessie van een ingelogde gebruiker draaien, en de KeepAlive-instelling kan launchd instrueren om een taak draaiende te houden.
8. Het beveiligingsprobleem is het vermeende gebruik van XMRig zonder medeweten of toestemming van de eigenaar.
9. Het screenshot gaf ook aanleiding tot bezorgdheid over inloggegevens die op de Mac beschikbaar waren, waaronder een GitHub-login. Er is echter geen bewijs dat wachtwoorden, toegangstokens, broncode of andere bestanden zijn gestolen.
10. De infectieroute en de volledige omvang van de mogelijke compromittering blijven onbekend.
11. Claude vroeg toestemming om het opstartitem en de miner te stoppen en bestanden in quarantaine te plaatsen. De gebruiker gaf aan dat de assistent opruimwerkzaamheden heeft uitgevoerd, hoewel één bestand handmatig moest worden verwijderd vanwege toegangsrechten.
12. Een scan van Malwarebytes volgde.
13. Het gedrag vertoont gelijkenissen met technieken die zijn waargenomen bij andere Mac-dreigingen. Eerdere aanvallen met valse CAPTCHA's hebben een backdoor en XMRig geïnstalleerd, met gebruik van LaunchAgent persistentie en mogelijke combinatie van mining met wachtwoorddiefstal. Rapporten over het misbruik van Apple crash-reporting branding door CrashStealer documenteerden ook LaunchAgent persistentie. Geen van deze campagnes is gekoppeld aan de Mac van UntilHEX.
14. Aangeraden wordt om onverklaarbare hitte en aanhoudende CPU-belasting te onderzoeken, persistentie te controleren en blootstelling van accounts te evalueren. Vermoedelijke compromittering vereist isolatie en het wijzigen van wachtwoorden vanaf een schoon apparaat.
15. Dit verslag is gebaseerd op een gebruikersrapport en een screenshot, en is niet geverifieerd door een forensisch onderzoek. De ontdekking door Claude wordt als nuttig beschouwd, maar de gemelde opschoonactie garandeert niet dat alle bedreigingen zijn verwijderd.