Brauche Expertenkenntnis bei Virus-Problem mit mac und VMs

[Porschinger]

Hallo,

ich bin jetzt auch mit einem Virenproblem konfrontiert und bräuchte mal Hilfe bei der Einschätzung des Problems und evtl. Tips für Tools und bessere Virenscanner.

Ich habe noch fünf Macs in Betrieb und auf all den Macs läuft auch Windows 7, Windows 8 und Windows 10 in virtuellen Maschinen unter VMware Fusion 8.x. Auf den Produktiv-Macs läuft noch Mavericks, auf einem alten Mac Pro 2009 als Server El Capitan und oft Sierra auf dem Media Mac Mini oder auch nur Mavericks, weil es besser läuft. Ich arbeite am liebsten mit Mavericks und meine Frau mit Windows. Dafür hat sie eine spezielle Windows 7 virtuelle Maschine, in der auch Microsoft Office 2003 installiert . Wir haben auch eine Lizenz für Microsoft Office 2007, aber sie mag das Benutzerinterface nicht und ich auch nicht.

Ich habe eine Vielzahl virtueller Windows Maschinen. Das hängt auch mit meiner Vergangenheit als Windows-Systemprogrammierer zusammen, bis ich mich durch eine lebensbedrohliche chronische Erkrankung in den Vorruhestand befördert habe.

Vor einigen Wochen trat auf einmal das Problem aus, daß Mails von Servern aus aller Welt an meine Frau zurückkamen, weil sie nicht zugestellt werden konnten. Auch von 1&1 kam eine Mail, daß über den Computer meiner Frau SPAM versendet würde. Nun sendet und empfängt sie Mails über das Mail-Programm auf ihrem iMac und auch in Outlook 20003 in der virtuellen Windows-Maschine. Ich habe dann das Passwort des betroffenen Mail-Accounts geändert und so das Senden von SPAM seitdem verhindern können.

1&1 hat mir einen Link auf einen Euro-Virenscanner genannt, aber die WEB-Seite funktionierte nicht, d.h. ich konnte den Virenscanner nicht herunterladen. Ein Scanner names MailwareBytes hat nichts gefunden aber der kostenlose AVAST-Virenscanner für den Mac hat einige Viren gemeldet.

So sollten einige Viren in älteren Backup-Dateien sein, beispielsweise in LacCie Festplattensoftware, die ich aber nie installiert habe. Außerdem sollten Viren in Mail-Attachments sein und in einer alten Excel-Datei von 2008. Die sehe ich aber als unkritisch an.

Am meisten beunruhigt mich ein Trojaner namens "Win32atched-HO[Trj]" in sogenannten .mem Dateien von Windows virtuellen Maschinen. Das sind eine Art Auslagerungsdateien von Windows mit Code und der Trojaner soll in Windows laufen und Hacker in die Lage versetzen, beliebige Viren nachzuladen. Die .mem Dateien kann man löschen ohne die VMs zu beeinträchtigen. Was ist von diesem Trojaner zu halten?

Dieser Trojaner befindet sich nur in Windows 7 VMs, aber dort auch in VMs, die nur ganz selten und nur für wenige WEB-Seiten verwendet wurden. Beispielsweise habe ich eine VM mit Windows 7, in der alle Standard-Programme installiert sind, die ich in einer VM Win7 haben will inkl. Office 2007. Sie dient fast nur als Vorlage für neue VMs, die dann für einen bestimmten Zweck benutzt würden.

Leider habe ich anfangs schlampig recherchiert und kann nicht sagen, ob die SPAM-Mails vom Mac meiner Frau oder auch ihrer Windows 7 VM gesendet wurden, oder aus beiden.

Die Verwendung von Virenscannern ist ein regelechter Albtraum. Ich habe einige ausprobiert und noch vor dem Scanner wieder entfernt. Auf dem Mac ist der AVAST-Scanner wenigstens einigermaßen zu bedienen und erst mal kostenlos, auf Windows will er gleich Kohle und schlecht bedienbar. Schließlich habe ich die Windows-Laufwerke über Netzwerkverbindung vom Mac aus gescannt.

Ich hoffe, ich habe mal einen einigermaßen klaren Überblick über das Problem gegeben und bitte die unter Euch, die sich mit dem Virenproblem gut auskennen, mir zur Lösung ein paar Ratschläge und/oder Einschätzungen zu geben.

Ich bin jetzt erst mal ein paar Stunden weg und kann also nicht direkt auf Fragen antworten. Danke für jede Hilfe.

 

[noodyn]

Oh je, das ist ja ein wahrer Wildwuchs bei dir. Ich würde dir ganz dringend raten deine Plattformen zu konsolidieren. Wozu brauchst du drei Mac und drei Windows Versionen? Ältere Software läuft auch in neueren Betriebssystemen. Und du solltest erstmal schauen, ob du noch herausbekommen kannst, von wo der Spam geschickt wurde. Du solltest dir evtl. Lizenzen für Kaspersky zulegen. Die kostenlosen Virenscanner haben eben nur kostenlose Funktionalität und z.B. keine Echtzeitüberwachung. Ich tippe mal ganz stark, dass eine deiner Windows Maschinen betroffen ist.

 

[oneOeight]

gerade die VMs kann man doch ohne probleme scannen und reinigen, weil die ja dafür nicht mal laufen müssen.
einfach die VM datei als laufwerk mounten …

ist jetzt die frage, ob das erkannte in den auslagerungsdateien false positives sind oder richtige treffer.
gibt ja auch schädlinge, die nur quasi zur laufzeit aktiv sind, damit man die nicht im dateisystem findet …

 

[Porschinger]

So bin wieder da. Ich habe mich das auch schon gefragt, ob es bei den .mem Dateien wirklich richtige Treffer sind, aber ich muß mir ja was eingefangen haben, sonst hätte niemand SPAM von meinen Rechnern versandt.

Ich habe aus meiner früheren Software-Entwickler-Zeit als Freiberufler noch so viele Macs. Einige standen in der Stadt im Büro und einige zuhause. Da ich aber seit einigen Jahren nicht mehr arbeite sind sie jetzt bei mir zuhause. Ich habe auch noch einige Macs von 2008, die ich aber nicht mehr benutze. Meine Frau hat einen iMac 27" von 2013 und ich einen iMac 27" von 2012 als Hauptrechner. Eine Mac Mini 20012 fungiert als TV- und Media-Rechner im Wohnzimmer und ein Mac Pro 2009 in Vollausstattung als Server mit vielen Laufwerken ist auch noch da. Zum Schluß ist da noch eine Notebook in Vollausstattung von 2011, daß ich mit bei Kunden hatte und früher mein Haupt-Entwicklungsrechner war. Die Macs sind alle gut ausgestattet und laufen auch schnell. Ich bin noch sehr zufrieden damit und daher habe ich den letzten Jahren keine neuen gekauft, weil mir die Richtung bei Apple nicht gefällt.

Ich habe so viele Windows-VMs, weil ich für jeden Zweck nur bestimmte VMs benutze, z.B. für das Browsen mit TOR eine eigene VM, für VPN eine andere, ebenso für Office-Anwendungen, zum Elstern, für Banküberweisungen, zum Download von Filmen usw. Ich wundere mich schon die ganze Zeit, daß es keine Windows-Aktivierungsprobleme gibt.

 

[tocotronaut]

ist denn sicher, dass es eine infektion in eurem netz war?
es kann genauso sein, dass jemand die Zugangsdaten zu deinem Konto erraten hatte.

Dann sind die spamnachrichten ggf. über einen anderen computer versendet worden, aber natürlich in eurem Namen.

1&1 legt dann eine SMTP-Versandsperre auf die Emailadresse.

 

[rechnerteam]

Beispielsweise habe ich eine VM mit Windows 7, in der alle Standard-Programme installiert sind, die ich in einer VM Win7 haben will inkl. Office 2007. Sie dient fast nur als Vorlage für neue VMs, die dann für einen bestimmten Zweck benutzt würden.

Ist diese VM denn sauber? Wenn Deine Vorlage korrupt ist, erklärt sich der Rest von selbst.

 

[Porschinger]

Ja es muß wohl bei mir ein Virus vorliegen. Nach dem ersten Wechsel des Mail-Paßwortes gab es keine SPAM-Rückläufer mehr, aber sobald ich das Passwort des Accounts wieder zurückgesetzt habe, ging es weiter. 1&1 sagte, die SPAM-Mails kämen von uns und 1&1 hat auch einmal eine 48-stündige Versandsperre gesetzt.

Die Vorlagen-VM mit Windows 7 sollte so sauber sein, wie es nur möglich ist. Ich habe auch schon alle DLLs und EXE-Dateien zwischen - wie ich glaube - sauberen VMs und möglicherweise infizierten VMs verglichen und keine Unterschiede festgestellt. Microsoft Security Essentials hat auch nichts festgestellt.

Langsam und widerstrebend macht sich bei mir die Erkenntnis breit, daß ich mich mal intensiv mit dem Virenthema befassen muß. Erst mal werde ich den iMac meiner Frau neu mit Sierra aufsetzen und sie ganz von Windows abbringen und evtl. alle Windows 7 VMs aufgeben.

Diese Erfahrung hat mich jetzt doch verunsichert. Für Bankgeschäfte werde ich einen eigenen billigen Mac exklusiv einsetzen, der nur dafür eingeschaltet wird und nur die Standard-Apps bekommt.

Ich danke Euch erst mal für Eure Beiträge.