Neue Systemerweiterung angeboten

[Bozol]

Hallo, weiss jemand von Euch was da gerade bei mir ankam? Es stand nur Systemerweiterung (aber nicht welche) im Requester dabei und dass man diese in den Prefs unter Sicherheit & Datenschutz noch freigeben müsse.

 

[Pi88no]

Hast du die autom. Updates an oder selbst ein Update angestoßen? Ansonsten spricht nichts dagegen "Erlauben" (nach dem Aufschließen) zu betätigen, wenn du sonst gerade keine fremde Software installiert hast.

 

[BalthasarBux]

Doch, da spricht einiges dagegen. Das klingt schon shady. Ich kenne keine Software von Apple, die nochmal separat abgenickt werden muss.

 

[Bozol]

Ich kenne keine Software von Apple, die nochmal separat abgenickt werden muss.

So ist auch meine Erinnerung. Apple Soft kommt über die normale Software-Aktualisierung und es stand auch nirgends dabei welche Systemsoftware updated wurde.

 

[Pi88no]

Dann müsstest du aber selbst einen Installation angestoßen haben oder dich sonst auf dubiosen Seiten aufhalten und unbemerkt etwas geladen haben.

Demnach hätte sich ein Virus, Malware o.ä. als "Apple Inc." ausgegeben... ich bezweifle, aber hoffe vor allem das das nicht einfach so möglich ist. An sich erlaubst du dadurch auch nur weiterhin, dass Apps aus dem AppStore und verifizierte Apps installiert werden können.

Wenn man Apple glauben mag und ich die Passagen in diesem Guide richtig verstehe wäre das so auch nicht möglich, theoretisch: https://help.apple.com/pdf/security/de_DE/apple-platform-security-guide-d.pdf ...ab Seite 64.

Spoiler: Personalisierter Aktualisierungsprozess

Bei Aktualisierungen (bei Upgrades ebenso wie bei Updates) wird eine Verbindung zum Apple-Server für die Installationsautorisierung hergestellt, der eine Liste kryptografischer Kennzahlen für jeden Bestandteil des Installationspakets enthält, der installiert werden soll (z. B. iBoot, Kernel und Image des Betriebssystems), einen Anti-Replay-Zufallswert (Nonce) und die eindeutige ECID (Exclusive Chip Identification). Der Autorisierungsserver vergleicht die Liste der Kennzahlen mit den Versionen, deren Installation erlaubt ist, und fügt bei einem Treffer die ECID zu den Kennzahlen hinzu und signiert das Ergebnis. Der Server überträgt beim Aktualisierungsvorgang einen kompletten signierten Datensatz an das Gerät. Mit der hinzugefügten ECID wird die Autorisierung für das anfragende Gerät „personalisiert“. Indem nur bekannte Kennzahlen autorisiert und signiert werden, stellt der Server sicher, dass die Aktualisierung genau in der von Apple vorgesehenen und bereitgestellten Weise vorgenommen wird.

[...]

 

[Pi88no]

Im Support Dokument zum Thema findest du weitere Infos die eigentlich ebenfalls sagen, dass keine App ohne Verifizierung installiert/genutzt werden kann.

Spoiler: https://support.apple.com/de-de/HT202491

Beim Installieren von Apps, Plug-Ins und Installationspaketen für den Mac, die nicht aus dem App Store stammen, überprüft macOS die Entwickler-ID-Signatur, um zu überprüfen, ob die Software von einem verifizierten Entwickler stammt und nicht verändert wurde. Standardmäßig muss die Software für macOS Catalina und neuer auch beglaubigt werden, sodass du sicher sein kannst, dass die auf deinem Mac ausgeführte Software keine bekannte Malware enthält.

https://support.apple.com/de-de/HT202491

 

[oneOeight]

Lass doch mal Malwarebytes laufen.
Apple Inc als Hersteller ist mehr als verdächtigt.

 

[tocotronaut]

Finde auch, das das sehr ungewöhnlich klingt...

 

[Bozol]

@oneOeight

Habe ich schon getan, nichts gefunden.

 

[Pi88no]

Diese und weitere Beiträge sind im Netz zu finden. Der Entwicklername kommt vom Zertifikat… es ist zertifiziert und von Apple.

https://discussions.apple.com/thread/252930286?answerId=252930286021#252930286021

Interessant wäre ob du im Verzeichnis /System/Library/Extensions/ eine Erweiterung findest mit aktueller Änderung, wenn diese sich z.B. AppleMobileDevice.kext schimpft, dann passt das sehr gut zu diesem Beitrag:

https://www.malwarebytes.com/blog/news/2021/11/do-apples-new-macbooks-signal-a-change-in-direction-on-security

 

[Der Reisende]

Ist hier eine Beta Software im Spiel?

 

[Bozol]

Den Vorgang gibts schon seit ein paar Monaten.

https://discussions.apple.com/thread/253529827
https://discussions.apple.com/thread/252404518
https://discussions.apple.com/thread/253878602

@Der Reisende
Bei mir nicht.

@Pi88no
Treffer.

Das hinterlässt ein ungutes Gefühl wenn man nicht erkennen kann um welche Erweiterung es sich handelt. Jedenfalls gings mir so.

Naja, nach der Installationsroutine und einem zusätzlichen Reboot wars in ein paar Minuten vorbei. Aber Mac-like ist das Ganze nicht, denn die TE gaben an das sie diese Update-Methode seitens Apple zu ersten Mal sahen.

 

[Pi88no]

Ja… im oben verlinkten Blog Beitrag geht es genau darum, dass Apple eigentlich Drittanbieter/Entwicklern mehr oder minder dazu gezwungen hat bzw. einen Riegel vorgeschoben hat eben nicht einfach so Erweiterungen zu installieren oder zu ändern. Und wenn doch, dann kommt eine „erschreckende“ Nachricht. In diesem Fall sogar ohne jedes zutun oder bewussten Update. Ein Szenario welches zurecht, wenn auch in diesem Fall nicht notwendig, ein Misstrauen aufkommen lies. Blöd wenn das ganze vom Hersteller selbst ausgelöst wird.

Treffer.

Übrigens reiner Zufall das genau diese Kernel Erweiterung Auslöser gewesen sein soll/könnte… mit dem Tool SystHist könntest du bei Interesse auslesen, welche Erweiterung tatsächlich zuletzt installiert wurde.

 

[Bozol]

Die letzten Einträge sind vom 18 August 22 und betreffen XProtect.

 

[Pi88no]

Integrierte Antivirussoftware von macOS... erkennt Malware. Gut das die jetzt (wieder) auf Stand ist!