Was ist denn der m.keeper?

[lari]

Hi, bekomme gerade ständig von Little S. Anfrage vom "m.keeper". Weiß jemand, was es damit auf sich hat?
Beste Grüße

 

[blue apple]

MacKeeper installiert?

 

[lari]

MacKeeper installiert?

MacKeeper kenn ich nicht und ist als Programm auch nicht über spotlight zu finden

 

[David X]

Keeper installiert?

 

[lari]

Keeper installiert?

auch nicht

 

[David X]

Liefert denn eine Spotlight-Suche ein Ergebnis für m.keeper? Gibt es einen entsprechenden Prozess in der Aktivitätsanzeige (Alle Prozesse)?

 

[lari]

Liefert denn eine Spotlight-Suche ein Ergebnis für m.keeper? Gibt es einen entsprechenden Prozess in der Aktivitätsanzeige (Alle Prozesse)?

weder noch

das steht in LS, immer so komische Domains:

action: deny
process: /Users/kid/.mkeeper
destination: cuojshtbohnt.com
port: 80
protocol: 6
help: möchte sich zu cuojshtbohnt.com auf TCP Port 80 (http) verbinden

action: deny
process: /Users/kid/.mkeeper
destination: iqkydbxjfodro.kz
port: 80
protocol: 6
help: möchte sich zu iqkydbxjfodro.kz auf TCP Port 80 (http) verbinden

action: deny
process: /Users/kid/.mkeeper
destination: krymbrjasnof.com
port: 80
protocol: 6
help: möchte sich zu krymbrjasnof.com auf TCP Port 80 (http) verbinden

action: deny
process: /Users/kid/.mkeeper
destination: lshsjokjjgtmm.net
port: 80
protocol: 6
help: möchte sich zu lshsjokjjgtmm.net auf TCP Port 80 (http) verbinden

action: deny
process: /Users/kid/.mkeeper
destination: ouspjintgjsrw.com
port: 80
protocol: 6
help: möchte sich zu ouspjintgjsrw.com auf TCP Port 80 (http) verbinden

action: deny
process: /Users/kid/.mkeeper
destination: rrlxqkgmiqle.info
port: 80
protocol: 6
help: möchte sich zu rrlxqkgmiqle.info auf TCP Port 80 (http) verbinden

action: deny
process: /Users/kid/.mkeeper
destination: stxeapbewbblp.com
port: 80
protocol: 6
help: möchte sich zu stxeapbewbblp.com auf TCP Port 80 (http) verbinden

 

[AgentMax]

Google sagt das könnte der aktuelle Flashback Trojaner sein.

Probier mal den Cleaner: http://support.apple.com/kb/DL1517?viewlocale=en_US&locale=en_US

 

[kos]

Von dem Domains her würde ich sagen du hast dir was eingefangen:

http://contagiodump.blogspot.de/2012/04/osxflashbacko-sample-some-domains.html

// Zu spät

 

[David X]

Aha, .mkeeper anstatt m.keeper.

Herzlichen Glückwunsch! Du hast Dir Flashback eingefangen… (Softwareaktualisierung ist nicht so Dein Ding, was?)

 

[LosDosos]

Scheint das nicht der Flashback zu sein?

2. The location of the FlashBack Bot on my computer was /Users/*yourusername/.mkeeper

http://www.thegmandrive.com/removing-the-flashback-virus/
https://discussions.apple.com/thread/3861832?start=0&tstart=0

Edit: zu spät

 

[David X]

Na, was ein Glück, dass FlashBack

a) nicht funktioniert und
b) Little Snitch als Schutz ausreicht

 

[LosDosos]

MacMark wird sich schon eine Ausrede einfallen lassen, um seine Behauptung dennoch zu stützen.
Und das wird dann auch hier verstreut treu nachgeplappert.

 

[lari]

oje, hatte letztens noch über Terminal getestet, da war der Befund negativ. Das letzte JAVA-Update hab ich allerdings (noch) nicht drauf.
ALTER Verwalter und jetzt kommt tatsächlich die Meldung:"Auf Ihrem Computer wurde Malware gefunden und entfernt"

Wo hab ich denn das her? Naja , vielen Dank für Eure wichtigen Hinweise.

 

[kos]

Na, was ein Glück, dass FlashBack

b) Little Snitch als Schutz ausreicht

Die Behauptung im Thread ist damit widerlegt, dennoch scheint LittleSnitch es ja wohl geblockt zu haben?

 

[lari]

Die Behauptung im Thread ist damit widerlegt, dennoch scheint LittleSnitch es ja wohl geblockt zu haben?

wer weiß, vielleicht hab ich es ja doch einmal "bis zum Beenden" erlaubt

 

[Suendenbock]

Wo hab ich denn das her?

Hast Du eventuell in letzter Zeit mal irgendwo bei einer Abfrage dein Passwort eingegeben?

 

[lari]

Hast Du eventuell in letzter Zeit mal irgendwo bei einer Abfrage dein Passwort eingegeben?

Phishung-mäßig, so über E-Mails? Ausgeschlossen!

 

[LosDosos]

Unter bestimmten Umständen hat er sich doch ohne Passworteingabe installiert:
http://www.macwelt.de/artikel/_News/380761/trojaner_installiert_sich_ohne_passworteingabe/1

 

[Kaito]

Hast Du eventuell in letzter Zeit mal irgendwo bei einer Abfrage dein Passwort eingegeben?

Flashback benötigt keine PW Abfrage, wenn der Betroffene, wie eben selbst gemeint, nicht das aktuellste Java Update hat (hatte).