Virus eingefangen? Wie weiter vorgehen?

[*rael*]

Habe den Mac Mini nun gescannt, folgendes Ergebnis hat Malwarebytes mir angezeigt: PUP.tuneupmymac
siehe Foto.
Des weiteren kamen am Sonntag zwei Panikmache Mails, eine auf Englisch, eine auf Deutsch, dass ein Trojaner installiert wurde, Zugriff auf alle Inhalte des Rechners möglichwäre, man ein Freund von adult videos wäre, etc inkl. zahlungsaufforderung über 500 USD per bitcoin.

 

[dg2rbf]

Da hast du im Inet Müll runtergeladen und Installiert.
Franz

 

[BalthasarBux]

tuneupmymac ist keine Malware, sondern "nur" eine PUP, also ein potentiell unerwünschtes Programm, weil es Probleme machen kann. Dennoch weg damit.

Falls das Gerät jetzt wirklich offline war, dann sollte ja klar sein, dass Drohmails mit "wir haben jetzt einen Trojaner installiert" leere Versprechungen sind.
Falls jetzt ein guter Mailprovider a la Posteo genutzt wird, und überall unterschiedliche Passwörter sind, die nicht im Klartext in einer Datei stehen, und auch das problematische öffentliche Passwort nirgendwo mehr genutzt wird, dann bin ich eigentlich ganz guter Dinge, dass er haarscharf an schlimmerem vorbeigeschrammt ist.

 

[BEASTIEPENDENT]

Des weiteren kamen am Sonntag zwei Panikmache Mails, eine auf Englisch, eine auf Deutsch, dass ein Trojaner installiert wurde, Zugriff auf alle Inhalte des Rechners möglichwäre, man ein Freund von adult videos wäre, etc inkl. zahlungsaufforderung über 500 USD per bitcoin.

Äh, kommen 20x am Tag. Das ist aber nicht jedes Mal eine Meldung im Forum wert.

Soll heißen: das ist normaler Spam. Sowas trudelt wirklich hundertfach am Tag ins Postfach (bzw. direkt automatisch in den Spam-Ordner). Eine Probably unwantend program ist auch nix Wildes: https://praxistipps.chip.de/pup-was-ist-das-einfach-erklaert_97676 – wie schon mehrfach vermutet, ist akut auf dem Mac gar nix Schlimmes gelandet.

 

[*rael*]

Danke für eure Einschätzungen. Was mich nur stutzig macht, ist, dass in der Drohmail ja das korrekte Passwort für die freenet-Adresse stand und dass das mit einem anderen Passwort angelegte GMX-Konto auch nach einem Tag von GMX gesperrt wurde. Hab den Rechner jetzt auf Wunsch meines Vaters beim Händler abgegeben, damit deren IT-Experte sich das mal anschaut. Eine Frage noch: da Malwarebytes ja nichts gefunden hat, bis auf den einen Eintrag, dürfte ja nichts dagegen sprechen, WLAN wieder einzuschalten, oder?

 

[BalthasarBux]

Im Normalfall würde ich empfehlen, mal auf haveibeenpwnd nachzuschauen, ob die Emailadresse inkl. Passwort in einem Leak verbrannt ist. Aber da müsste man sich erstmal die Mühe machen und bei Freenet anfragen, ob man Zugriff auf den Account wiederbekommt. Warum GMX einfach so auch sperrt, müsste man dort nachfragen.

 

[Cassiuzz]

Danke für eure Einschätzungen. Was mich nur stutzig macht, ist, dass in der Drohmail ja das korrekte Passwort für die freenet-Adresse stand und dass das mit einem anderen Passwort angelegte GMX-Konto auch nach einem Tag von GMX gesperrt wurde. Hab den Rechner jetzt auf Wunsch meines Vaters beim Händler abgegeben, damit deren IT-Experte sich das mal anschaut. Eine Frage noch: da Malwarebytes ja nichts gefunden hat, bis auf den einen Eintrag, dürfte ja nichts dagegen sprechen, WLAN wieder einzuschalten, oder?

Ich schätze das folgendermaßen ein:
- Die Angreifer haben das freenet Email-Konto deines Vaters kompromitiert
- Wahrscheinlich war das PW zu schwach und es gab kein 2FA für das Konto
- Mit dem Zugang zum Email Konto könnte man theoretisch folgendes durchführen:
- Spam, Phishing, Identitätsdiebstahl, Weiterverkauf der Daten an Datenbroker
- Was sie bei euch gemacht haben war eine Scare / Erpresser Taktik
- Gib Geld, oder wir veröffentlichen das Video deines erotischen Ausdruckstanzes, den es hoffentlich nicht gibt! LUL
- Was durch das zufügen von brisanten Daten wie Name, Vorname, Password etc. den Druck erhöhen soll einen Fehler zu begehen
- Das freenet PW haben sie doch durch Bruteforce erraten! Solange es nicht recycelt wurde = kein Problem!
- Dein Vatta nutzt zum Glück kein Paypal, Amazon etc und hat für Onlinebanking einen seperaten TAN Generator
- Wenn der Herr Papa sich sicherer und wohler fühlt, dass ein "IT Experte" da mal rüber schaut, dann ist das vollkommen ok!
- Im Grunde macht der auch nicht mehr, als das, was dir hier schon empfohlen wurde, aber egal!

Fazit:
- Rechner komplett neu aufsetzen
- Einen neuen Email Provider aussuchen
- 2FA für alle Konten aktivieren (vorallem für Mail) !!!
- Auf den Schreck erst mal einen Fernet Branca trinken

 

[Hotze]

Auf den Schreck erst mal einen Fernet Branca trinken

Auf einen Schreck trinkt man erstmal ein Korn.
Fernet „Frettchenpisse“ Branka trinkt man, wenn man magische Kräfte braucht.

 

[lulesi]

Was ist denn am Spamfilter von GMX gut?

Bei mir funktioniert er sehr gut,und ich habe seit 25 Jahren E-Mail Adressen dort.

Meine Hauptemailadresse bei einem lokalen Internetprovider über den ich damals Online ging
war irgendwann Anfang der 2000er Jahre nicht mehr zu nutzen, weil ich am Tag hunderte Spammails bekam.

Die E-Mailadresse der Telekom habe ich nie aktiv genutzt,und trotzdem kommt da jeden Tag Spam rein.
Gleiches gilt für meine Microsoft outlook.com Adresse, auf der auch permanent Spam eintrudelt, und zwar
unfassbar viel.

Die einzigen bei denen kein Spam herein kommt,sind meine Posteo und meine icloud adresse.
Diese sind aber von mir noch niemals irgendwo veröffentlicht worden.

 

[BalthasarBux]

Ich nutze Posteo seit knapp zehn Jahren und in der Zeit musste ich verwirrt ein einziges Mal Spam löschen.

 

[uwolf]

Wenn ich heute ab und zu nochmal in meinen noch existierenden GMX-Account gucke, habe ich 300 Mails im Spamordner und 100 Spam-Mails in der regulären Inbox. Dazu noch die unsäglichen Werbemails und das Boulevard-Portal.
Trotz Löschen 14 Tage später das gleiche Bild. Die GMX-Mailadresse ist im Grunde verdorben.

Interessant, ich nicht. Und das nach vielen vielen Jahren.

 

[BEASTIEPENDENT]

Danke für eure Einschätzungen. Was mich nur stutzig macht, ist, dass in der Drohmail ja das korrekte Passwort für die freenet-Adresse stand…

Weil offensichtlich dieses Konto tatsächlich gehackt wurde.

… und dass das mit einem anderen Passwort angelegte GMX-Konto auch nach einem Tag von GMX gesperrt wurde.

Wäre interessant!

Eine Frage noch: da Malwarebytes ja nichts gefunden hat, bis auf den einen Eintrag, dürfte ja nichts dagegen sprechen, WLAN wieder einzuschalten, oder?

Ich glaube, die meisten hier sehen das auch so. Nein, die Gefahr scheint nicht allzu groß, dass mit dem Rechner selber etwas unsicher ist.

Der eine Eintrag im Übrigen, nochmal ist kein Sicherheitsrisiko. Potentiell unerwünschtes Programm ist eine gute Beschreibung: lästig, aber ungefährlich. Wenn überhaupßt, denn es heißt eben auch „potentiell“ – weil mitunter auch gewollt.

 

[*rael*]

Was meinst du mit „wäre interessant“?

 

[dodo4ever]

Was meinst du mit „wäre interessant“?

Was hast du denn nun schon konkretes gemacht?

* Freenet und GMX-Adresse geprüft? https://haveibeenpwned.com/
* Konten dort gelöscht und bei einem seriösen Bezahldienst für Privatpersonen neu angemeldet
* Passwort-Manager eingerichtet, überall komplexe, individuelle Passwörter eingestellt und 2FA?
* Browser von allen Plugins und Coockies befreit oder ggf. sogar auf Browser komplett gewechselt auf z.B. Firefox
* W-LAN Schlüssel geändert, Router auf fremde Geräte durchsucht?
* Mac in Auslieferungszustand zurückgesetzt und nur die Nutzerdaten wieder eingespielt

Meiner Meinung genügen Punkte 1-4, der Rest ist optional.

 

[BigR]

GMX ist gut, ich habe eine eigene Domain mit Email, kostet etwas mehr als GMX, ist aber auch besser. Mit meiner Email Domain kann ich 100MB Anhänge verschicken.

 

[*rael*]

Was hast du denn nun schon konkretes gemacht?

* Freenet und GMX-Adresse geprüft? https://haveibeenpwned.com/

Ja, für die GMX-Adresse wurde nichts gefunden. Bei der Freenet-Adresse kam folgendes:
Pwned in 1 data breach and found no pastes
und weiter unten stand:
Cit0day (unverified): In November 2020, a collection of more than 23,000 allegedly breached websites known as Cit0day were made available for download on several hacking forums. The data consisted of 226M unique email address alongside password pairs, often represented as both password hashes and the cracked, plain text versions. Independent verification of the data established it contains many legitimate, previously undisclosed breaches. The data was provided to HIBP by dehashed.com.

* Konten dort gelöscht und bei einem seriösen Bezahldienst für Privatpersonen neu angemeldet

Auf Konten kann ich momentan nicht zugreifen, da von freenet und gmx gesperrt, von daher konnte ich die auch nicht löschen. Mac mini ist seit gestern beim Händler, damit deren IT-Experte sich das anschaut (wollte mein Vater so). Von daher wurde auch noch keine neue Mailadresse bei einem seriösen Anbieter eingerichtet.

* Passwort-Manager eingerichtet, überall komplexe, individuelle Passwörter eingestellt und 2FA?
* Browser von allen Plugins und Coockies befreit oder ggf. sogar auf Browser komplett gewechselt auf z.B. Firefox

Noch nicht passiert, da Mac mini beim Händler.

* W-LAN Schlüssel geändert, Router auf fremde Geräte durchsucht?

W-LAN ist immer noch deaktiviert am Router.

* Mac in Auslieferungszustand zurückgesetzt und nur die Nutzerdaten wieder eingespielt

Meiner Meinung genügen Punkte 1-4, der Rest ist optional.

 

[kd31]

GMX ist gut... kostet etwas mehr als GMX, ist aber auch besser.

Der ist gut.

Was ist denn am Spamfilter von GMX gut?
Ich hatte auch fast 20 Jahre dort meine Haupt-Mailadresse, aber was nicht geht, ist nach Inhalt filtern und direkt entsorgen.
Wenn ich heute ab und zu nochmal in meinen noch existierenden GMX-Account gucke, habe ich 300 Mails im Spamordner und 100 Spam-Mails in der regulären Inbox. Dazu noch die unsäglichen Werbemails und das Boulevard-Portal.
Trotz Löschen 14 Tage später das gleiche Bild. Die GMX-Mailadresse ist im Grunde verdorben.

Ich habe seit mehr als 20 Jahren dort eine Free-Adresse. 2 Mal im Monat gibt es ein bisschen Werbung, auch wenn das die ersten Jahre etwas mehr und Aufdringlicher war. Spam kommt bei mir ebenfalls so gut wie gar nicht vor.
Ich habe dann noch eine web.de, da verhält es sich genauso.
Irgendwas läuft bei Dir gehörig schief.

 

[tocotronaut]

Das einzige was eigentlich passiert ist:
Jemand hat das Passwort für freenet herausbekommen.

Durch Ausprobieren, einen Hackerangriff auf Freenet oder vielleicht auch eine gefälschte Webseite, auf die der Senior reingefallen ist...

Scheinbar schon 2020.
Da wurde die Kombination im Internet gehandelt und jetzt hat (mutmaßlich) jemand anderes das Passwort gekauft und genutzt.

Früher haben diese Leute vor allem bots darauf angesetzt sich in die Konten einzuloggen und spams zu versenden.
Dann gibt es auch welche die das internet rauf und runter bestellen.

Die Masche die jetzt relativ neu ist ist:

Man konfrontiert den Besitzer einfach mit seinem eigenen Passwort.

Das bringt den Empfänger direkt in ein ohnmachtsgefühl und verbreitet sehr effektiv Panik.

Der betroffene verfällt dann oft in wilden Aktionismus... (wie eigentlich auch dieses Thema hier beweist)
Beste Voraussetzung, jemanden dazu zu bringen etwas zu tun was er normalerweise nicht tun würde...

Und die Anleitung zur Absolution wird praktischerweise gleich in der email mitgeliefert…
Total Easy: Man muss nur warten bis das Geld eingeht.

 

[BEASTIEPENDENT]

Was meinst du mit „wäre interessant“?

Ich meinte nur, es wäre in der Tat interessant zu erfahren, warum dieser Account so schnell gesperrt wurde.