search marquis - ich bekomm den dreck nicht weg.... :-(

[Jessiblue]

Hallo Freunde,

ich darf bei freunden von mir ab und an mal Admin - respektive mit lediglich "etwas" mehr Ahnung - spielen.
Jetzt kam einer dieser Freunde auf mich zu, und hat mir berichtet das er wohl einen "Trojaner" habe (search marquis) und mich gebeten das zu entfernen. Die "Standard" to dos aus dem Netz hab ich durchgeführt, aber leider scheint es das ständig wieder aufs neue hoch zu kommen.

Mache ich etwas falsch?
Was wäre euer Tipp? Ein Backup sollte es geben - nur weiß ich leider nicht ob das auch noch kompromittiert ist.

Der Freund hat einen iMac 27" 2015 mit Mac OS Monterey installiert (welche Infos kann ich noch bereitstellen?)

Danke vorab für eure Unterstützung,
wünsche euch n tollen Start in eure neue Woche

Grüße Jessblue

P.S.: Ich hab auch mal TrendMicro HouseCall durchlaufen lassen (in Summe 3x - wir nutzen im Geschäft TrendMicro Produkte und fahren damit eigentlich relativ gut) gefunden hat das tool tatsächlich 3 Dinge und Sie "wohl" auch entfernt, aber alle drei hatten nichts mit Search Marquis im Namen.

 

[BEASTIEPENDENT]

Mache ich etwas falsch?

Das könnte man besser beurteilen, wenn Du sagen würdest, WAS Du getan hast. „Die "Standard" to dos aus dem Netz hab ich durchgeführt…“ könnte ja alles Mögliche heißen.

Was sagt denn https://www.malwarebytes.com ?


https://discussions.apple.com/thread/253966257 gibt es auch eine ausführliche Anleitung.

https://forums.malwarebytes.com/topic/253594-search-marquis-remains/ hier ist eine Erklärung, warum ggfls. trotz einer Entfernung Reste bleiben!

https://helpcenter.trendmicro.com/en-us/article/tmka-11049 listet eine weitere Möglichkeit auf, wo sich der Mist einnisten kann.

 

[Jessiblue]

Servus Beastipendent - die von dir genannten Lösungsschritte habe ich nicht gesehen - bis auf den Link von apple.com! Malwarebytes hatte ich tatsächlich nicht auf dem Schirm. Aber ich habe die Libraries nach den vorgaben durchsucht - wobei auch das eher als "rudimentär" angesehen werden kann. Weil ich dort keinen Hinweis auf search marquis finden konnte. Ich hab gem. den folgenden Links versucht Ihn zu entfernen:

https://macsecurity.net/de/view/289-search-marquis-com
https://www.macube.com/de/how-to/remove-search-marquis-from-mac.html

ich gebe zu ich habe versucht die zuerst auftauchenden Hilfeseiten zu nutzen. Wie geschildert - malwarebytes hab ich nicht versucht - weil ich der Hoffnung und Ansicht war, dass ich über Trendmicro Housecall (https://www.trendmicro.com/de_de/forHome/products/housecall.html) schon einen recht ordentlichen Scanner nutzen würde. Aber scheinbar habe ich mich geirrt.

Ich werd mir nochmal die Anleitung von Apple anschauen und es versuchen diesmal minuziös umzusetzen. Danke vorab schon einmal für eure Unterstützung.

Grüße Jessiblue

 

[BEASTIEPENDENT]

ich gebe zu ich habe versucht die zuerst auftauchenden Hilfeseiten zu nutzen.

Das ist ja auch verständlich und erstmal nix Schlimmes. Nur können wir halt nicht hellsehen, was Du da gemacht hast, wenn Du es uns nicht sagst. ;-)

Bitte guck mal, was Malwarebytes sagt, die sind mit die Besten und ein Tool wie Malwarebytes reicht eigentlich auch.

 

[Jessiblue]

Alles klar vielen lieben Dank! Sobald ich bei Ihm vorbeischaue kann ich es direkt ausprobieren.

 

[tocotronaut]

Fast das selbe: https://www.macuser.de/threads/safa...kann-sie-nicht-entfernen-bzw-loeschen.807697/

Searchmarquis kann hartnäckig sein. Vor allem gehört es zu einer ganz anderen App. Genieo?
Zumindest ist es auch kein Trojaner sondern Harmloses werbezeug (aber extrem nervig.)
Deshalb: Keine Panik.

Die Software hat das ziel sich zu verstecken und der name besteht meist aus zwei individuell zusammengesetzten Wörtern, die wichtig klingen aber nix zu sagen haben. Das Problem ist nicht das zeug runterzukriegen, sondern Safari danach wieder eine neue Startseite beizubiegen. Das ist dann meist gesperrt.
Das Zeug kommt also nicht immer wieder sondern ist durchaus richtig weg - aber man bekommt halt die Startseite nicht wieder umgestellt.

- Suche mal nach Profilen in den Systemeinstellungen.

- und schau nach ob der Nutzer/Admin von der Kindersicherung verwaltet wird. (geht eigentlich gar nicht hatte ich aber schonmal)
Da war dann Fest die Suchmaschine als Startseite eingestellt. Zum ändern musste ich einen weiteren Admin anlegen und konnte dann den ersten Admin verwalten.

p.s:
In einem Fall in dem ich selbst echt nicht weitergekommen bin habe ich mit dem Apple Configurator selbst ein Konfigurationsprofil erstellt und damit die Startseite im Safari dann fix auf www.google.de eingestellt.

 

[Jessiblue]

Servus Ihr Lieben, mich hats die letzten Tagen ganz schön Verspult. Bin noch nicht dazu gekommen bei meinem Freund vorbeizuschauen. Danke auch dir nochmal toctronaut, dass du dich auch noch mal mit einem Lösungsansatz - vor allem aber mit der Aufmunterung gemeldet hast. Nicht in Panik verfallen ist glaub ich schon mal mehr als die Halbe Miete! ;-)
Gruß Jessi

 

[oneOeight]

Lad dir mal Etrecheck.
Das listet installierte Software auf, speziell wird sich die Malware persistent über die LaunchDaemons/Agents machen.

Zum Entfernen startest du am besten auch mit shift gedrückt für den sicheren Modus, damit das sich nicht im RAM befindet und sich wieder installiert.