Heise: Trojaner zielt auf MacOS

[MacMark]

Avalon, ich befasse mich nach 10 Jahren Administration seit 1,5 Jahren beruflich mit IT Security. …

Also ein bekennender "Security-Profi" …

auch wenn ihr das eine Millionen mal schreibt, bleibt es falsch!
Es gibt Trojaner, die OHNE Eingabe des Passwortes installiert werden und über Fehler in Mac OS Zugriff auf alle Dateien des Systems erhalten und dann Schaden anrichten.
trojan.osx.boonana.a zum Beispiel.

… der wider besseres Wissen Märchen erzählt, denn:
Wenn Du diesen Trojaner mal ausprobierst, dann siehst Du, daß er sehr wohl Deine Einwillung für das Applet als auch später noch Deine Paßworte für den Systemzugriff benötigt. Wenn Du Angst vorm eigenen Ausprobieren hast, dann lies halt darüber: http://reviews.cnet.com/8301-13727_7-20020892-263.html

jemand, der Macmark als "Referenz" zur Sicherheit von Mac OS in der Fußnote führt hat keine Ahnung.

(MacMark diskreditieren …)

brauche ich nicht, das macht der schon selbst mit seinen haltlosen Behauptungen ;-).

Wie wir gerade gesehen haben, trifft das eher auf Dich zu.

ich weiß, "Spezialisten" wissen es besser, aber allen anderen empfehle ich mal das Interview mit von Leitner vom CCC:
http://www.heise.de/mac-and-i/artikel/Schwere-der-Luecken-ist-besorgniserregend-1194782.html

Heise, beziehungsweise deren Autor als Wiederholungstäter, bekommt für seine letzten "Sicherheits"-Artikel in c't, Mac&i und auf heise.de von mir noch ein Review.

…
Heutzutage sind die Angriffe gezielt, hochgefährlich und vor allem extrem professionell (siehe Stuxnet), das Ziel ist immer Kohle. …
Und das ist der Grund, weshalb der Mac nicht im Fokus ist, weil er im Business wenig verbreitet ist. Das kann man nicht wegdiskutieren.

Unzählige Firmen machen Millionen-Umsätze mit harmloser Mac-Software. Nur bösartige Software macht auf Macs keinen Umsatz. Dabei hätte der Erste circa 20+ Millionen Macs zur Verfügung. Auf Windows deinstallieren sich die Schadprogramme neuerdings hingegen gegenseitig.

Antivirenprogramme sind wohl dann sinnvoll, wenn man regelmäßig Dateien mit Windowsnutzern austauscht.

Nur wenn Du fr33_p0rn_Prittney_na4ed7 Mail-Anhänge weiterleitest.
Du kannst auch Dein eigener Viren-Scanner sein:
http://www.macmark.de/osx_terminal.php#examine

natürlich und genauso könnte dich jederzeit ein schädling auf deinem system treffen, der unbekannt ist und vielleicht über eine zero-day lücke in OSX rootrechte auf deinem system erlangt und was weiss ich mit deinen files anstellt ... in diesem szenario denke ich sind wir beide uns mal wieder einig, gibt es nicht gibts nicht - nur eine frage der zeit ...

Für Systemrechte auf OS X brauchst Du ein Paßwort oder einen Bug in einem SUID-Programm oder ähnliches. Für vollen Systemzugriff auf Windows brauchst Du weder ein Paßwort noch einen Bug, sondern nur Code unter dem typischen User:
http://www.macmark.de/windows_uac_security_placebo.php

 

[pikachu]

Ich denke, die Leute bei Sophos darf man – wirtschaftliche Interessen hin oder her – getrost als Experten bezeichnen. Sophos AV wird von vielen Unternehmen und Universitäten als Virenschutzsoftware eingesetzt, so schlecht wird's dort schon nicht laufen; die OS-X-Version gibt es so oder so nach wie vor kostenlos.

 

[Hausbesetzer]

bla

Hihi als ich angefangen habe zu lesen dachte ich wirklich "hey, mal endlich etwas mit Hintergrund"
Als ich dann beim Schwachsinn mit WriteProcessMemory angekommen bin, war mir dann klar, wie sehr das ein Blendertext ist.
WriteProcessMemory?? Willkommen im Jahr 2011 wenn jemand im gleichen Dorf ein AV App hat, läuft das doch nicht mehr - ausserdem: Lies Dir mal ein paar Texte zu mach-injections durch - das ist WriteProcessMemory auf Speed muhahahaha
Aber respekt - ohne Ahnung könne man echt meinen, die Infos da hätten Hand und Fuss

 

[MacMark]

Hihi als ich angefangen habe zu lesen dachte ich wirklich "hey, mal endlich etwas mit Hintergrund"
Als ich dann beim Schwachsinn mit WriteProcessMemory angekommen bin, war mir dann klar, wie sehr das ein Blendertext ist.

Am besten beschwerst Du Dich direkt bei Mark Russinovich vom Microsoft Technet und sagst Microsoft, daß Du der offiziellen Microsoft-Technik-Doku nicht traust. Darauf beruht nämlich http://www.macmark.de/windows_uac_security_placebo.php

WriteProcessMemory?? Willkommen im Jahr 2011 wenn jemand im gleichen Dorf ein AV App hat, läuft das doch nicht mehr

Anti-Virus-Software kann Dich davor nicht retten.
http://itsecuritylab.eu/index.php/2...ter-bypassing-antivirus-how-to-for-beginners/

- ausserdem: Lies Dir mal ein paar Texte zu mach-injections durch - das ist WriteProcessMemory auf Speed muhahahaha

Ist einfach nicht Dein Tag heute:
http://www.macmark.de/osx_dynamic-overriding.php
Inklusive dickem Ende:
http://www.macmark.de/osx_dynamic-overriding.php#windows_injection

 

[Alf17000]

Tja gibt es wohl doch wie mein Screenshot beweist... Heute auf meinem MBP gefunden, kam über Java, kursiert wohl in den Web 2.0 Diensten über Videos die dort kreisen. Diese sind verlinkt und downloaden und installieren unbemerkt den Trojaner, achja und klar schau ich den ganzen Tag Pornos auf meinem Mac ;-) ! Ist nun gelöscht... sicher fühlen und sicher sein sind 2 Paar Schuhe...

Gruß Alf

 

[andi42]

@Alf:
Das sind wies ausschaut alte Java-Exploits, die versuchen über eine Java-Lücke ins System zu kommen. Solange sie nur im Cache-Ordner rumliegen und dein Java auf dem aktuellsten Stand ist sollten sie wirkungslos sein. Du kannst einfach den Java-Cache leeren, der wird dann beim nächsten Verwenden der Java-Anwendungen wieder befüllt.

Details zur Lücke:
CVE-2010-0094

 

[MacMark]

Und seit einem Jahr wirkungslos: http://support.apple.com/kb/HT4170

 

[iblack]

Wie bekommt man so einen Trojaner futsch ? und was kann der alles machen, auch persönliche Daten ausfischen ?

 

[andi42]

Wenn er schon installiert ist: neuaufsetzen und sauberes Backup einspielen. Wenn das Ding mal auf dem System ist, kann es alles machen was du auch tun könntest: pers. Daten abgreifen, interneteinstellungen manipulieren, daten löschen ...

 

[MacMark]

Wie bekommt man so einen Trojaner futsch ?…

Unter OS X hat er keine so guten Möglichkeiten, sich zu verstecken, wie unter Windows. Die einschlägigen AV-Seiten listen jeweils die zugehörigen Dateien. Diese kann man per Hand löschen.

 

[andi42]

Unter OS X hat er keine so guten Möglichkeiten, sich zu verstecken, wie unter Windows.

LauchDaemon, LaunchAgent, atd, crontab, Startobjekte, InputManager, Internet Plugins, Folder Actions, kexts, …
Sorry, wenns ein Malwareschreiber drauf anlegt, und bereits (durch die Installation des Trojaners) root-Rechte auf dem System hat, kannst du lange rumsuchen, und trotzdem nicht sicher sein alles erwischt zu haben.

Die einschlägigen AV-Seiten listen jeweils die zugehörigen Dateien. Diese kann man per Hand löschen.

Wenn der Trojaner eine Dropperkomponente zum Nachladen neuen Codes dabeihat, hilft dir die Liste der ursprünglichen Dateien nicht viel. Zudem weisst du ja nicht, welche Manipulationen das Ding noch vorgenommen hat (Hostsdatei, DNS, Sicherheitseinstellungen, Rechteänderungen, ...)
Wenn du wirklich wieder sicher arbeiten willst, ist mmn eine Neuinstallation nach ernsthaftem Malwarebefall unumgänglich.

 

[guitero]

Wie kann ich mein System scannen um sicher zu gehen das ich nichts habe ?

Danke

 

[andi42]

Wenn deine Software auf dem aktuellsten Patchstand ist, du keine Software aus dubiosen Quellen installiert hast und beim Surfen nicht alles anklickst, was nicht bei drei auf den Bäumen ist, kannst du momentan beruhigt sein.
Windows-Viren kannst du mit ClamXav aufspüren, für Mac OS X gibts bisher zum Glück noch keine Viren in freier Wildbahn. Trojaner könnten uu ein Anhängsel bei geklaufter Software sein, zum Beispiel kursierte einige Zeit eine verseuchte iWork-Version im Netz.

 

[guitero]

Wenn deine Software auf dem aktuellsten Patchstand ist, du keine Software aus dubiosen Quellen installiert hast und beim Surfen nicht alles anklickst, was nicht bei drei auf den Bäumen ist, kannst du momentan beruhigt sein.
Windows-Viren kannst du mit ClamXav aufspüren, für Mac OS X gibts bisher zum Glück noch keine Viren in freier Wildbahn. Trojaner könnten uu ein Anhängsel bei geklaufter Software sein, zum Beispiel kursierte einige Zeit eine verseuchte iWork-Version im Netz.

Aber kann ich das immer garantieren ? Klar surfe ich auch manchmal auf Seiten die nicht 100% seriös sind wie spiegel-online.

 

[..:: Psy ::..]

http://www.macmark.de/osx_viren.php

 

[andi42]

Aber kann ich das immer garantieren ? Klar surfe ich auch manchmal auf Seiten die nicht 100% seriös sind wie spiegel-online.

Solange du nicht irgendwelchen dubiosen Videocodecs, Javaprogramme oder sonstwas dabei installierst, eher harmlos. wichtig: Browser, Plugins (zb Flash) und Betriebssystem stets aktuell halten.

 

[iblack]

Ich habe den Troj/Poison-CO Trojan, habe Sophos installiert als es mit dem Internet kurz ging.

könnte sich der Trojaner denn auch im Backup verstecken, wenn ich neu installiere und das Timemachine Backup nutze ?

 

[iblack]

Ich hab bei der Anmeldung bei meinem MacOSX, da wo man die Benutzerkonten auswählt ein Konto mit Netzwerksymbol benannt "Andere Benutzer...". Wenn ich darauf zugreife, wird nach Name und Passwort gefragt. ist das so von Apple üblich, das dies Konto vorhanden ist, oder schliesst dies auf Fremdeinwirkung ?

 

[Tzunami]

Normalerweise sieht man das nur, wenn z.B. der root aktiviert wurde und du hast wahrscheinlich nicht den Troj/Poison-CO, der nutzt nur die selben Verbindungen die du angegeben hast.

 

[andi42]

Ich hab bei der Anmeldung bei meinem MacOSX, da wo man die Benutzerkonten auswählt ein Konto mit Netzwerksymbol benannt "Andere Benutzer...". Wenn ich darauf zugreife, wird nach Name und Passwort gefragt. ist das so von Apple üblich, das dies Konto vorhanden ist, oder schliesst dies auf Fremdeinwirkung ?

Vermutlich hilft dir mein Beitrag hier:
https://www.macuser.de/forum/f21/account-weg-alle-573549/index2.html#post6628398
EDIT:
Wenn du mit deinem Benutzer noch reinkommsst, brauchst du das natürlich nicht machen. Du solltesst dir aber trotzdem anschauen, wieso du diesen Menüpunkt hast. Root aktiviert?

EDIT2:

Ich habe den Troj/Poison-CO Trojan, habe Sophos installiert als es mit dem Internet kurz ging.

Der Kernel verbindet sich auch mit:

ppp-043ved2.pppi.enet.cu (200.55.181.43), Port 51880 (unbenannt), Protokoll 6 (TCP), 0 Bytes gesendet, 54 Bytes empfangen
c-98-192-21-91.hsd1.ga.comcast.net (98.192.21.91), Port 2237 (optech-port1-lm), Protokoll 6 (TCP), 0 Bytes gesendet, 57 Bytes empfangen

oder

isman.cl.link.bg (91.192.236.247), Port 53708 (unbenannt), Protokoll 6 (TCP), 0 Bytes gesendet, 72 Bytes empfangen

Die Adressen sagen mir nichts ?

dann geht mal das Internet überhaupt nicht.

könnte sich der Trojaner denn auch im Backup verstecken, wenn ich neu installiere und das Timemachine Backup nutze ?

Also Sophos hat den Trojaner auf deinem Rechner gefunden? Laut der Beschreibungsseite auf Sophos handelt es sich bei Troj/Poison-CO um einen Windows-Trojaner ?! Was genau hat Sophos ausgespuckt und woher hast du die Domainnamen von oben?
Wenn dein Mac OS wirklich von einem Mac-Trojaner befallen ist, hast du den natürlich nach dem Einspielen des TM-Backups wieder drauf, wenn er zum Erstellzeitpunkt des Backups schon auf dem System war.
lg andi42