Finde XnView nach Installation nicht

[ekki161]

Öhm … das ist aber SEHR lang

Nicht schlimm. Aber bitte in Code Tags einfügen.

 

[martinmiethke]

Eine Möglichkeit wäre (vielleicht), als Suchkriterium das Erstellungs- oder Änderungsdatum einzugeben, dabei das Datum des Herunterladens wählen.

Stimmt. Nützt aber eben nur, wenn wirklich ÜBERALL gesucht wird …

Darüberhinaus könnte ein Rechtsklick-Blick auf das Dockicon des Downloadordners helfen. Dort werden die Dateien in der Reihenfolge des Downloads angezeigt, Malware sollte direkt neben der bewusst geladenen Software liegen.

Das verstehe ich jetzt nicht … im Download-Ordner liegt doch nur das Installationsprogramm, um das geht’s doch gar nicht. Oder habe ich da jetzt einen Denkfahler?

 

[martinmiethke]

Nicht schlimm. Aber bitte in Code Tags einfügen.

Öööh … dazu hätte ich das Protokoll sichern müssen, richtig? Habe ich leider nicht …
(Oder wird das automatisch irgendwo gesichert?)

 

[ekki161]

Und Etrecheck nochmal laufen lassen geht jetzt nicht?

Du willst den Namen des Mülls wissen, der dir von Etrecheck genannt wurde. Löschst dann aber das Protokoll mit dem Namen der Adware drin? Verstehe ich nicht ganz.

 

[Schiffversenker]

Button links? Meinst du „Diesen Mac“ (siehe Screenshot)?

Nein, eine Zeile weiter unten.

Ach das meinst du. OK, das kannte ich schon – aber die Frage ist wie gesagt, WO gesucht wird …

Das ist natürlich oft ein echtes Problem.

Wenn man sich mit den Grundlagen des UNIX-Dateisystems auskennt (was ich nicht erwarte, obwohl das erstaunlicheweise garnicht so kompliziert ist), kann man es einschränken - totsicher ist das aber auch nicht.
Schadprogramme müssen beim Systemstart oder danach ja irgendwie aufgerufen und gestartet werden. Der klassische Mechanismus dazu ist ein Eintrag in den Verzeichnissen /LaunchAgents und /LaunchDaemons in den drei Library-Verzeichnissen (/System/Library - eher unwahrscheinlich - , /Library oder in deiner Benutzerlibrary (von Apple seit etlichen Systemen seltsamerweise, aus Gründen, die Normalsterblichen nicht erkennbar sind, versteckt, aber über ALT-Taste und den Finder-Menüeintrag "Gehe zum Ordner" erreichbar).

Aber das schweift ab, wird vermutlich zu kompliziert für den Anfang - konzentriere dich besser auf die anderen Vorschläge.

 

[Schiffversenker]

Das verstehe ich jetzt nicht … im Download-Ordner liegt doch nur das Installationsprogramm, um das geht’s doch gar nicht. Oder habe ich da jetzt einen Denkfahler?

Weiß ich nicht. Ehrlich, ich habe keine Ahnung, ob da ein zusätzliches Programm heruntergeladen wird oder ob Chip & Co. gleich das Installationsprogramm manipulieren.
Ich bin davon ausgegangen, daß sie einfach was dazu runterschicken.
War wahrscheinlich doof gedacht.

 

[-mb-]

Ja natürlich – genau darum ging es doch im ursprünglichen Beitrag! Hast du den gar nicht gelesen?

Natürlich nicht, ich antworte hier einfach ins Blaue! Ich bin hier raus, lass Dir doch von den Anderen helfen...

 

[martinmiethke]

Und Etrecheck nochmal laufen lassen geht jetzt nicht?
Du willst den Namen des Mülls wissen, der dir von Etrecheck genannt wurde. Löschst dann aber das Protokoll mit dem Namen der Adware drin? Verstehe ich nicht ganz.

Ich habe die Adware mithilfe von Etrecheck natürlich gleich gelöscht.
Den Namen hätte ich für die Suche mit Easyfind gebraucht …

 

[martinmiethke]

Weiß ich nicht. Ehrlich, ich habe keine Ahnung, ob da ein zusätzliches Programm heruntergeladen wird oder ob Chip & Co. gleich das Installationsprogramm manipulieren.

Offensichtlich zweiteres.
Das seltsame war ja, dass XnView offensichtlich garnicht installiert worden war, dafür aber so ein ominöses Programm (laut Etrecheck irgendwas mit „keystone.update“)

 

[ekki161]

Dann starte halt Etrecheck nochmal bitte.

 

[martinmiethke]

Nein, eine Zeile weiter unten.

Aber da kann ich doch nur (links) den Dateityp einstellen und (rechts) das Kriterium. Wo kann ich da angeben, dass auch in Systemordnern und auch nach versteckten Dateien gesucht werden soll?

Wenn man sich mit den Grundlagen des UNIX-Dateisystems auskennt (was ich nicht erwarte, obwohl das erstaunlicheweise garnicht so kompliziert ist), kann man es einschränken - totsicher ist das aber auch nicht.

Naja, meine Kenntnisse sind da eher rudimentär.
Allerdings will ich die Suche ja nicht einschränken, sondern im Gegenteil, dass überall gesucht wird. Oder noch besser: dass ich weiß, wo gesucht wird …

Schadprogramme müssen beim Systemstart oder danach ja irgendwie aufgerufen und gestartet werden. Der klassische Mechanismus dazu ist ein Eintrag in den Verzeichnissen /LaunchAgents und /LaunchDaemons in den drei Library-Verzeichnissen (/System/Library - eher unwahrscheinlich - , /Library oder in deiner Benutzerlibrary

OK, das ist ja auch schonmal was. Allerdings muss ich da auch wiederum wissen, wonach ich suche …

(von Apple seit etlichen Systemen seltsamerweise, aus Gründen, die Normalsterblichen nicht erkennbar sind, versteckt, aber über ALT-Taste und den Finder-Menüeintrag "Gehe zum Ordner" erreichbar).

Das ist nicht das Problem – ich weiß schon, wie ich an „meine“ Library komme

 

[ekki161]

Aber da kann ich doch nur (links) den Dateityp einstellen und (rechts) das Kriterium. Wo kann ich da angeben, dass auch in Systemordnern und auch nach versteckten Dateien gesucht werden soll?

Klicke mal auf 'Andere' bitte.

Und weiter rechts per '+' kannst du dann auch Suchkriterien hinzufügen und kombinieren. Und dabei ruhig auch mal die alt-Taste einsetzen.

 

[martinmiethke]

Dann starte halt Etrecheck nochmal bitte.

OK – aber jetzt ist der Eintrag mit der Adware natürlich weg, weil ich sie beim ersten Durchlauf gelöscht habe.
Die Datei liegt übrigens noch im Papierkorb, sie heißt com.package.keystone.update.plist

Hier also das aktuelle Protokoll (aah – ich sehe gerade, da steht ja noch drin, was bisher gelöscht wurde):

EtreCheck version: 3.4.5 (455)
Report generated 2017-10-03 13:37:17
Download EtreCheck from https://etrecheck.com
Runtime: 1:46
Performance: Excellent

Click the [Lookup] links for more information from Apple Support Communities.
Click the [Details] links for more information about that line.

Problem: Other problem
Description:
adware

Hardware Information: ⓘ
    MacBook Pro (17-inch, Late 2011)
    [Technical Specifications] - [User Guide] - [Warranty & Service]
    MacBook Pro - model: MacBookPro8,3
    1 2,5 GHz Intel Core i7 (i7-2860QM) CPU: 4-core
    16 GB RAM Upgradeable - [Instructions]
        BANK 0/DIMM0
            8 GB DDR3 1600 MHz ok
        BANK 1/DIMM0
            8 GB DDR3 1600 MHz ok
    Handoff/Airdrop2: not supported
    Wireless:  en1: 802.11 a/b/g/n
    Battery: Health = Normal - Cycle count = 72

Video Information: ⓘ
    Intel HD Graphics 3000 - VRAM: 512 MB
        Color LCD 1920 x 1200
    AMD Radeon HD 6770M - VRAM: 1024 MB

Disk Information: ⓘ
    Samsung SSD 840 EVO 250GB disk0: (250,06 GB) (Solid State - TRIM: Yes)
    [Show SMART report]
        (disk0s1) <not mounted>  [EFI]: 210 MB
        (disk0s2) <not mounted>  [CoreStorage Container]: 249.20 GB
        (disk0s3) <not mounted>  [Recovery]: 650 MB

    WDC WD5000BEVT-22ZAT0 disk1: (500,11 GB) (Rotational)
    [Show SMART report]
        (disk1s1) <not mounted>  [EFI]: 210 MB
        Mac HD (disk1s2 - Journaled HFS+) /Volumes/Mac HD : 499.25 GB (317.58 GB free)
        (disk1s3) <not mounted>  [Recovery]: 650 MB

USB Information: ⓘ
     USB20Bus
        Apple Inc. FaceTime HD Camera (Built-in)
         hub_device
            Apple Inc. BRCM2070 Hub
                Apple Inc. Bluetooth USB Host Controller
            Apple Inc. Apple Internal Keyboard / Trackpad
     USB20Bus
         hub_device
             USB2.0 Hub
                MediaTek Inc MT1887
                Apple, Inc. Keyboard Hub
                    Mitsumi Electric Apple Optical USB Mouse
                    Apple, Inc Apple Keyboard
            Apple Computer, Inc. IR Receiver
     USB30Bus

Thunderbolt Information: ⓘ
    Apple Inc. thunderbolt_bus

Virtual disks: ⓘ
    Mac SSD (disk2 - Journaled HFS+) /  [Startup]: 248.83 GB (199.75 GB free)
        Physical disk: disk0s2 249.20 GB Online

System Software: ⓘ
    OS X El Capitan 10.11.6 (15G1217) - Time since boot: about one day

Gatekeeper: ⓘ
    Mac App Store and identified developers

Kernel Extensions: ⓘ
        /Applications/Karabiner.app
    [not loaded]    org.pqrs.driver.Karabiner (10.6.0 - SDK 10.10) [Lookup]

        /Applications/Parallels Desktop.app
    [not loaded]    com.parallels.kext.hidhook (8.0 18619.1001606) [Lookup]
    [not loaded]    com.parallels.kext.hypervisor (8.0 18619.1001606) [Lookup]
    [not loaded]    com.parallels.kext.netbridge (8.0 18619.1001606) [Lookup]
    [not loaded]    com.parallels.kext.usbconnect (8.0 18619.1001606) [Lookup]
    [not loaded]    com.parallels.kext.vnic (8.0 18619.1001606) [Lookup]

        /Library/Extensions
    [loaded]    at.obdev.nke.LittleSnitch (3.6.4 - SDK 10.8) [Lookup]

        /Volumes/Mac HD/Users/[redacted]/Applications/Toast 8 Titanium/Toast Titanium.app
    [not loaded]    com.roxio.BluRaySupport (1.1.3) [Lookup]
    [not loaded]    com.roxio.TDIXController (1.6) [Lookup]

System Launch Agents: ⓘ
    [not loaded]    8 Apple tasks
    [loaded]    162 Apple tasks
    [running]    69 Apple tasks

System Launch Daemons: ⓘ
    [not loaded]    43 Apple tasks
    [loaded]    161 Apple tasks
    [running]    86 Apple tasks

Launch Agents: ⓘ
    [running]    at.obdev.LittleSnitchUIAgent.plist (Objective Development Software GmbH - installed 2016-10-11) [Lookup]
    [loaded]    com.epson.esua.launcher.plist (Seiko Epson Corporation - installed 2017-06-12) [Lookup]
    [loaded]    com.oracle.java.Java-Updater.plist (? 200a1b0f be93c7fb - installed 2016-10-25) [Lookup]

Launch Daemons: ⓘ
    [running]    at.obdev.littlesnitchd.plist (Objective Development Software GmbH - installed 2016-10-11) [Lookup]
    [loaded]    com.adobe.fpsaud.plist (? 2afb3af7 4898e928 - installed 2017-08-29) [Lookup]
    [loaded]    com.linotype.FontExplorerX.securityhelper.plist (Linotype GmbH - installed 2016-12-06) [Lookup]
    [loaded]    com.oracle.java.Helper-Tool.plist (Shell Script e3fefdd2 - installed 2016-10-25) [Lookup]

User Launch Agents: ⓘ
    [not loaded]    com.linotype.FontFolderProtector.plist (Linotype GmbH - installed 2017-10-02) [Lookup]
    [loaded]    com.valvesoftware.steamclean.plist (? 5d7255b4 bb8be47a - installed 2016-10-24) [Lookup]

User Login Items: ⓘ
    iTunesHelper    Programm (? 0 - installed 2017-02-17)
        (/Applications/iTunes.app/Contents/MacOS/iTunesHelper.app)
    Glutz    PDF (Portable Document Format) - Hidden
        (/Volumes/Mac HD/Users/[redacted]/Documents/Flora & Fauna/Ornithologisches/Glutz/Glutz.pdf)
    Birdnet-User    RTF-Dokument - Hidden
        (/Volumes/Mac HD/Users/[redacted]/Documents/Birdnet/Birdnet-User.rtf)
    AdobeResourceSynchronizer    Programm
        (/Applications/Adobe Acrobat 8 Professional/Adobe Acrobat Professional.app/Contents/Support/AdobeResourceSynchronizer.app)
    FontExplorer X Pro    Programm
        (/Applications/FontExplorer X Pro.app)
    MenuMetersApp    Programm
        (~/Library/PreferencePanes/MenuMeters.prefPane/Contents/Resources/MenuMetersApp.app)

Internet Plug-ins: ⓘ
    FlashPlayer-10.6: 27.0.0.130 (installed 2017-09-12) [Lookup]
    AdobePDFViewer: 8.0.0 (installed 2016-12-05) [Lookup]
    QuickTime Plugin: 7.7.3 (installed 2017-01-31)
    Flash Player: 27.0.0.130 (installed 2017-09-12) [Lookup]
    JavaAppletPlugin: Java 8 Update 111 build 14 (installed 2016-10-25) Check version
    Default Browser: 601 (installed 2016-10-08)

User internet Plug-ins: ⓘ
    Picasa: 1.0 (installed 2010-06-18) [Lookup]
    RealPlayer Plugin: Unknown (installed 2016-12-27) [Lookup]

Safari Extensions: ⓘ
    [enabled]    Adblock Plus - Eyeo GmbH - https://adblockplus.org/ (installed 2016-12-27)
  
    [not loaded]    Open in Internet Explorer - Parallels - http://www.parallels.com (installed 2016-10-26)
    [enabled]    Ultimate Status Bar - Karl Dearden - http://ultimatestatusbar.com/ (installed 2015-05-21)

3rd Party Preference Panes: ⓘ
    Flash Player (installed 2017-08-29) [Lookup]
    Java (installed 2016-09-23) [Lookup]
    MenuMeters (installed 2016-02-13) [Lookup]
    Perian (installed 2010-03-18) [Lookup]
    RCDefaultApp (installed 2009-09-20) [Lookup]

Time Machine: ⓘ
    Skip System Files: NO
    Mobile backups: ON
    Auto backup: YES
    Volumes being backed up:
        Mac SSD: Disk size: 248.83 GB Disk used: 49.07 GB
    Destinations:
        Backup [Local]
        Total size: 749.30 GB
        Total number of backups: 30
        Oldest backup: 27.10.16, 11:52
        Last backup: 27.09.17, 16:13
        Size of backup disk: Excellent
            Backup size 749.30 GB > (Disk size 248.83 GB X 3)

Top Processes by CPU: ⓘ
        10%       WindowServer
         7%       com.apple.WebKit.WebContent
         5%       Safari
         3%       MenuMetersApp
         2%       kernel_task

Top Processes by Memory: ⓘ
    1.09 GB       kernel_task
    618 MB        Safari
    276 MB        com.apple.WebKit.WebContent
    270 MB        mds_stores
    197 MB        cfprefsd

Top Processes by Energy Use: ⓘ
      3.90    WindowServer
      3.64    MenuMetersApp
      2.78    Safari
      1.56    hidd
      1.50    com.apple.WebKit.WebContent

Virtual Memory Information: ⓘ
    11.09 GB      Available RAM
    8.00 GB       Free RAM
    4.91 GB       Used RAM
    3.09 GB       Cached files
    0 B           Swap Used

Software installs: ⓘ
    Adobe Flash Player:  (installed 2017-09-12)
    Malwarebytes for Mac:  (installed 2017-10-01)
    "Malwarebytes for Mac Uninstaller":  (installed 2017-10-01)

    Install information may not be complete.

Diagnostics Information: ⓘ

    Standard users cannot read /Library/Logs/DiagnosticReports.
    Run as an administrator account to see more information.

Files deleted by EtreCheck: ⓘ
    2017-10-02 22:24:51 - ~/Library/LaunchAgents/com.package.keystone.update.plist - Unknown

 

[martinmiethke]

Klicke mal auf 'Andere' bitte.

OK – jetzt hab ich’s endlich gefunden …
Danke für deine Geduld!

Seltsam finde ich ja nach wie vor, dass nach der ersten Installation (der mit dem Installer von CHIP) XnView überhaupt nicht zu finden war. So als ob es gar nicht installiert worden wäre, sondern nur diese Adware …