Spionage-Software auf dem Mac?

[eMac_man]

Doch darum geht es. Der TE will den Mac "clean" bekommen und nicht eBay Passwörter zurücksetzen

Und wenn der Mac (bzw. das BS) schon kompromittiert war, dann reicht es eben nicht, nur einfach das System neu zu installieren. Denn vorhandene Passwörter könnten ja z.B. schon ausgespäht worden sein. Die bleiben aber auch nach einer Neuinstallation unverändert.

@ PiaggioX8:
Das Du Dich jetzt auch noch bei Hausbesetzer dafür bedankst, dass er Deine Ausführungen als

So eine gequirlte Ka**e.

bezeichnet, verstehe ich nun überhaupt nicht.

 

[PiaggioX8]

Leute - lest euch einfach mal den Eingangspost richtig durch.

-Kamara aktiviert
-SMs verschickt
-Bilder hochgeladen

Es besteht also zumindest ein Remotezugriff.
Und zwar sobald eine Internetverbindung besteht.
Also kann man davon ausgehen dass eine App installiert ist, die ständig im Hintergrund prüft ob eine Internetverbindung besteht. Ist diese vorhanden wird der Angreifer informiert und schon geht der Spuk los.

Es wurde auch geschrieben, dass der Angreifer die Geräte im Besitz hatte. Dann ist es für ihn sogar noch leichter Spywäre zu installieren oder alle Zugangsdaten zu irgendwelchen Accounts abzugreifen.

Im übrigen ist es auch keine gute Idee aus einem TimeMachine Backup alles wieder zurück zu spielen. Damit holt man sich die Pest nur erneut ins Haus.

 

[toonis]

Klingt für mich, als wäre da ein simpler Keylogger installiert.

 

[bimbam]

Ich pers. sehe das Problem auch weniger bei der Hardware und den Betriebssystemen als eher bei sämtlichen Accounts.
Ich würde wie folgt vorgehen:
- Daten 1:1 sichern
- alle Geräte komplett neu aufsetzen oder gar ersetzen (MAC-Adresse, Serien-Nr. bleibt ansonsten zuortbar)
- Passwörter aller Accounts ändern und so fern möglich 2 way-auth. einrichten

Anzeige kann man machen, wird aber nix bringen, da in solchen Fällen die Beweislage eher dürftig ist, selbst wenn "unliebsame Scripts oder Anwendungen" auf dem BackUp gefunden werden.

 

[thorstenhirsch]

@Piaggio: Ich versteh immer noch nicht, warum eine Neuinstallation von OS X nichts bringt. Dabei legt man doch die Accounts neu an und vergibt auch neue (andere) Passwörter - Problem gelöst, oder nicht?

 

[eMac_man]

@Piaggio: Ich versteh immer noch nicht, warum eine Neuinstallation von OS X nichts bringt. Dabei legt man doch die Accounts neu an und vergibt auch neue (andere) Passwörter - Problem gelöst, oder nicht?

Die Passwörter z.B. von Emailaccounts ändern sich nicht automatisch bei einer Neuinstallation. Dazu muss man die Passwörter schon bei dem jeweiligen Internet-Dienst (ebay, Mailanbieter, soziale Netzwerke, usw.) ändern. Das sollte man eh in mehr oder weniger regelmässigen Anständen tun.

 

[Thunderbirds]

@Piaggio: Ich versteh immer noch nicht, warum eine Neuinstallation von OS X nichts bringt. Dabei legt man doch die Accounts neu an und vergibt auch neue (andere) Passwörter - Problem gelöst, oder nicht?

Beim neuinstallation werden nicht alle Passwörter gesetzt sondern nur die vom System.
Es ist grob fahrlässig davon aus zu gehen das alle andere Passwörter sicher sind, die müssen schnellstens geändert werden

edith sagt, zu spät.

 

[thorstenhirsch]

Wieso nur die vom System? Meinen User lege ich doch auch neu an... oder wo soll der herkommen?

 

[eMac_man]

Wieso nur die vom System? Meinen User lege ich doch auch neu an... oder wo soll der herkommen?

Wenn dieser neu angelegte User aber weiterhin seine bisherigen Accounts in den als Beispiel genannten Diensten weiter nutzt, dann ändern sich aber nicht automatisch die dort bereits hinterlegten Passwörter.

 

[thorstenhirsch]

Ihr seid ganz schön fixiert auf dieses Internetgedöns...

 

[eMac_man]

Ihr seid ganz schön fixiert auf dieses Internetgedöns...

Nein, wir verlieren das nur nicht aus dem Auge. Es ist eben nicht so, dass man einfach nur neu installieren muss und dann ist alles gut.

 

[depeschie]

Auf einem MacBook konnte ich jetzt EtreCheck laufen lassen, zeigt dort aber keine Auffälligkeiten (einen Licenser von Adobe beim StartUp, CS5 ist dort installiert und etwas von Office).

Werde als nächstes die HDDs clonen und dann mal weitersehen.

Derweil werden von einem sauberen Mac alle Kennwörter der genutzten Dienste geändert.

 

[PiaggioX8]

Und wenn der Mac (bzw. das BS) schon kompromittiert war, dann reicht es eben nicht, nur einfach das System neu zu installieren. Denn vorhandene Passwörter könnten ja z.B. schon ausgespäht worden sein. Die bleiben aber auch nach einer Neuinstallation unverändert.

@ PiaggioX8:
Das Du Dich jetzt auch noch bei Hausbesetzer dafür bedankst, dass er Deine Ausführungen als

bezeichnet, verstehe ich nun überhaupt nicht.

Naivität und Ignoranz ist so ansteckend, dass man sich auch mal verklicken kann

 

[PiaggioX8]

Auf einem MacBook konnte ich jetzt EtreCheck laufen lassen, zeigt dort aber keine Auffälligkeiten (einen Licenser von Adobe beim StartUp, CS5 ist dort installiert und etwas von Office).

Werde als nächstes die HDDs clonen und dann mal weitersehen.

Derweil werden von einem sauberen Mac alle Kennwörter der genutzten Dienste geändert.

Das ist der wichtigste Ansatz überhaupt.

P.S. Auch das Kennwort des eigenen Routers nicht vergessen.

 

[depeschie]

Ich habe die Platte aus einem vermeintlich infizierten Mac ausgebaut und wollte diese nun mounten. Das klappt aber gar nicht...

/dev/disk2
#: TYPE NAME SIZE IDENTIFIER
0: FDisk_partition_scheme *500.1 GB disk2
1: 0xEE 500.1 GB disk2s1

Testdisk teilt mir noch mit, dass die Platte nicht bootbar sei. (bad starting sector).
Auf das Dateisystem habe ich auch keinen Zugriff aber die Platte arbeitet in dem "infizierten" Mac einwandfrei...
Strange...

EDIT: Ich habe die Platte jetzt wieder in den Mac eingebaut, von dort bootet sie einwandfrei...
EDIT2: Dort mal rootkithunter durchlaufen lassen... keine Auffälligkeiten

 

[depeschie]

Das aktuellste EFI kann ich nicht nochmal installieren - ist das normal?
Es handelt sich um ein MBP Late 2011 mit EFI 2.7