Probleme mit MacBook

[Gerhard Landeck]

Hallo,

habe aus Versehen im TB die beiden Threads von mir gelöscht.
Antwort auf fritz:

Etrecheck liefert Folgendes, wobei ich meiner Meinung nach Irrelevantes
rausgekürzt habe:

Runtime 2:45
Performance: Excellent

Überraschend.



Unknown Files: ⓘ
/Library/LaunchDaemons/com.NUiZbuWP.plist
/Library/LaunchDaemons/com.apple.ashsul.plist
/Library/ashsul
/Library/LaunchDaemons/com.apple.dannalmos.plist
/Library/dannalmos
/Library/LaunchDaemons/com.apple.ightquemos.plist
/Library/ightquemos
/Library/LaunchDaemons/com.apple.tasard.plist
/Library/tasard
/Library/LaunchDaemons/com.bnwjsfpkkkny.plist
/Library/LaunchDaemons/com.dfxhusmspczv.plist
/Library/LaunchDaemons/com.embryoniform.service.plist
/Library/LaunchDaemons/com.ffjpwpmdxely.plist
/Library/LaunchDaemons/com.jiXXMSGA.plist
/Library/LaunchDaemons/com.ngYxlPtg.plist
/Library/LaunchDaemons/com.qefnfmxvpxwx.plist
/Library/LaunchDaemons/com.vkxeukljzngx.plist
13 unknown files found. [Check files]




Launch Agents: ⓘ
[loaded] com.cisco.anyconnect.gui.plist (2016-10-06)

Launch Daemons: ⓘ
[not loaded] com.NUiZbuWP.plist (2016-11-19) [Support]
[loaded] com.adobe.fpsaud.plist (2016-10-26) [Support]
[running] com.apple.ashsul.plist (2016-11-19) [Support]
[running] com.apple.dannalmos.plist (2016-11-19) [Support]
[running] com.apple.ightquemos.plist (2016-11-20) [Support]
[running] com.apple.tasard.plist (2016-11-19) [Support]
[not loaded] com.bnwjsfpkkkny.plist (2016-11-19) [Support]
[running] com.cisco.anyconnect.ciscod.plist (2016-10-06) [Support]
[running] com.cisco.anyconnect.vpnagentd.plist (2016-10-06) [Support]
[not loaded] com.dfxhusmspczv.plist (2016-11-19) [Support]
[not loaded] com.embryoniform.service.plist (2016-11-19) [Support]
[not loaded] com.ffjpwpmdxely.plist (2016-11-20) [Support]
[not loaded] com.jiXXMSGA.plist (2016-11-19) [Support]
[loaded] com.microsoft.autoupdate.helpertool.plist (2016-10-10)
[Support]
[loaded] com.microsoft.office.licensingV2.helper.plist
(2016-10-10) [Support]
[not loaded] com.ngYxlPtg.plist (2016-11-19) [Support]
[not loaded] com.qefnfmxvpxwx.plist (2016-11-20) [Support]
[not loaded] com.vkxeukljzngx.plist (2016-11-19) [Support]





User Launch Agents: ⓘ
[loaded] com.google.keystone.agent.plist (2016-08-24) [Support]
[failed] com.mackeeper.MacKeeper.Helper.plist (2016-11-19)
[Support] - /Applications/MacKeeper.app/Contents/Services/MacKeeper
Helper.app/Contents/MacOS/MacKeeper Helper: Executable not found!
[running] com.spotify.webhelper.plist (2016-11-22) [Support]





Top Processes by CPU: ⓘ
18% launchservicesd
17% kernel_task
8% taskgated
8% WindowServer
4% launchd


Nach Ausführung der Anweisungen hier:

http://www.thesafemac.com/tech-support-scam-pop-ups/

scheint zumindest das Popup weg zu sein.

Gruß

[Fritz]

Am 24.11.16 um 20:14 schrieb Gerhard Landeck:

...

> User Launch Agents: ⓘ
> [loaded] com.google.keystone.agent.plist (2016-08-24) [Support]
> [failed] com.mackeeper.MacKeeper.Helper.plist (2016-11-19)
> [Support] - /Applications/MacKeeper.app/Contents/Services/MacKeeper
> Helper.app/Contents/MacOS/MacKeeper Helper: Executable not found!
> [running] com.spotify.webhelper.plist (2016-11-22) [Support]

Du hast dir einen 'ordentlichen Schiefer' namens MacKeeper eingetreten,
MacKeeper ist IMHO eine üble Scamware!

Und was sagen die Support Links zu den jeweiligen mit cryptischen Namen
belegten plists?

Scanne zusätzlich mal mit DHS, KextViewr, KnockKnock von
<https://objective-see.com/products.html>

Malwarebytes Anti-Malware
<https://www.malwarebytes.com/mac-download/>

Schau, dass du das MacKeeper Zeug (es dürfte da Einiges im Schlepptau
dazuinstalliert haben) schleunigst los wirst:

<https://malwaretips.com/blogs/remove-mackeeper-popup-ads/>

<http://www.macworld.com/article/2861435/software-utilities/how-to-uninstall-mackeeper-from-your-mac.html>

<http://www.macworld.com/article/2861868/how-to-remove-mackeeper-part-ii-the-pop-up-edition.html>

<http://praxistipps.chip.de/mackeeper-deinstallieren-so-gehts_38035>

Besser wäre, den Mac platt zu machen - natürlich deine Dateien vorher zu
2x = auf zwei getrennten Medien) sichern - und das Ding komplett neu
aufsetzten. Aufpassen - in der Library des Benutzers könnte sich auch
noch AdWare verstecken.

--
Fritz
„Die Welt ist groß genug für die Bedürfnisse aller, aber zu klein für
die Gier Einzelner“ - Mahatma Gandhi

[Fritz]

Am 24.11.16 um 20:14 schrieb Gerhard Landeck:

...

> User Launch Agents: ⓘ
> [loaded] com.google.keystone.agent.plist (2016-08-24) [Support]
> [failed] com.mackeeper.MacKeeper.Helper.plist (2016-11-19)
> [Support] - /Applications/MacKeeper.app/Contents/Services/MacKeeper
> Helper.app/Contents/MacOS/MacKeeper Helper: Executable not found!
> [running] com.spotify.webhelper.plist (2016-11-22) [Support]

Du hast dir einen 'ordentlichen Schiefer' namens MacKeeper eingetreten,
MacKeeper ist IMHO eine üble Scamware!

<http://www.macmark.de/osx_security.php>

[Gerhard Landeck]

On Fri, 25 Nov 2016 09:25:17 +0100, Fritz <fr...@tb.nomail.invalid>
wrote:


>...
>> User Launch Agents: ?

>> [loaded] com.google.keystone.agent.plist (2016-08-24) [Support]
>> [failed] com.mackeeper.MacKeeper.Helper.plist (2016-11-19)
>> [Support] - /Applications/MacKeeper.app/Contents/Services/MacKeeper
>> Helper.app/Contents/MacOS/MacKeeper Helper: Executable not found!
>> [running] com.spotify.webhelper.plist (2016-11-22) [Support]
>
>Du hast dir einen 'ordentlichen Schiefer' namens MacKeeper eingetreten,
>MacKeeper ist IMHO eine üble Scamware!

Ich weiß, aber wie schon gesagt, handelt es sich gar nicht um meinen
Rechner. Ich hab meiner Tochter auch schon gesagt, sie soll alles, was
mit MacKeeper zusammenhängt, runterschmeißen, aber sie findet nichts.
Installiert hat sie es wissentlich nicht.

>
><http://www.macmark.de/osx_security.php>
>
>Und was sagen die Support Links zu den jeweiligen mit cryptischen Namen
>belegten plists?

Damit sucht man auf Google nach dem Dateinamen. Google findet nichts.
Vielleicht sollte man das Zeug einfach mal runterschmeißen?

>
>Scanne zusätzlich mal mit DHS, KextViewr, KnockKnock von
><https://objective-see.com/products.html>
>
>Malwarebytes Anti-Malware
><https://www.malwarebytes.com/mac-download/>

Das wäre der nächste Schritt.

>
>Schau, dass du das MacKeeper Zeug (es dürfte da Einiges im Schlepptau
>dazuinstalliert haben) schleunigst los wirst:
>


><https://malwaretips.com/blogs/remove-mackeeper-popup-ads/>
>
><http://www.macworld.com/article/2861435/software-utilities/how-to-uninstall-mackeeper-from-your-mac.html>
>
><http://www.macworld.com/article/2861868/how-to-remove-mackeeper-part-ii-the-pop-up-edition.html>
>
><http://praxistipps.chip.de/mackeeper-deinstallieren-so-gehts_38035>
>

Danke für die Links. Ich geb sie mal weiter. Aber ob MacKeeper für das
Starten von dem OsaScript verantwortlich ist?

>Besser wäre, den Mac platt zu machen - natürlich deine Dateien vorher zu
>2x = auf zwei getrennten Medien) sichern - und das Ding komplett neu
>aufsetzten. Aufpassen - in der Library des Benutzers könnte sich auch
>noch AdWare verstecken.

Erst mal noch weiter probieren.


Gruß, Gerhard
Bei Fehlern im Code ist das Chaos programmiert.
Irgendeine Software Engineering Publikation

[Iwan]

On 25.11.16 14:11, Gerhard Landeck wrote:
> Damit sucht man auf Google nach dem Dateinamen. Google findet nichts.
> Vielleicht sollte man das Zeug einfach mal runterschmeißen?

Solche Dinger findet man nicht mit dem Finder (sic), aber recht gut mit
"Find Any File" mit Suche (root).

Peter
--


Support NSA and GCHQ - Write in English
Soutiens DGSE - Écris en français

[Gerhard Landeck]

Iwan schrieb:

> On 25.11.16 14:11, Gerhard Landeck wrote:
>> Damit sucht man auf Google nach dem Dateinamen. Google findet nichts.
>> Vielleicht sollte man das Zeug einfach mal runterschmeißen?
>
> Solche Dinger findet man nicht mit dem Finder (sic),

Doch, natürlich, wieso nicht? Etrecheck hat ja schon gesagt, wo sie
liegen, nämlich in /Library/LaunchDaemons/

Diese Dateien wurden übrigens an dem Tag angelegt, an dem die Probleme
anfingen. Scheint eine ganz heiße Spur zu sein. Sind inzwischen
gelöscht, bin gespannt, ob's hilft.

Gruß, Gerhard

[Robert Welz]

Gerhard Landeck <ne...@glandeck.de> wrote:

> Doch, natürlich, wieso nicht? Etrecheck hat ja schon gesagt, wo sie
> liegen, nämlich in /Library/LaunchDaemons/

Du solltest mal in diese Dateien in LaunchDaemons reinschauen - das sind
nur Konfig-Dateien, die verweisen dann auf die ausführbaren Dateien, die
Du dann auch rüchstandsfrei entsorgen kannst.

Beispielsweise im Terminal

cat /Library/LaunchDaemons/com.malwarebytes.HelperTool.plist

liefert

<key>Program</key>
<string>/Library/PrivilegedHelperTools/com.malwarebytes.HelperTool</string>

das heist, in /Library/PrivilegedHelperTools/ wird durch das Konfigfile
die Binary /Library/PrivilegedHelperTools/com.malwarebytes.HelperTool
ausgefühert.

Die Datei, die ausgeführt wird, könnte auch ein Skript sein, dass kannst
Du Dir genauso auch anschauen, ich glaube im Fall von MacKeeper ruft das
noch andere Programme ganz woanders auf, die dann auch mitgelöscht
werden können. Mein "Kontakt" mit MacKeeper ist aber schon eine ganze
Weile her - ich bin mir nicht mehr ganz sicher - aber ich glaube, dass
hat auf diese Weise in /Applications/ noch irgendwelche
Hinterlassenschaften gehabt.

Grüsse,

Robert
--
The Adress m...@privacy.net is against spammers
To contact me privately reverse and use
moc....@illiw.zlew
Blog: http://rwelz.byethost13.com/?cat=14

[Gerhard Landeck]

Robert Welz schrieb:

> Gerhard Landeck <ne...@glandeck.de> wrote:
>
>> Doch, natürlich, wieso nicht? Etrecheck hat ja schon gesagt, wo sie
>> liegen, nämlich in /Library/LaunchDaemons/
>
> Du solltest mal in diese Dateien in LaunchDaemons reinschauen - das sind
> nur Konfig-Dateien, die verweisen dann auf die ausführbaren Dateien, die
> Du dann auch rüchstandsfrei entsorgen kannst.
>
> Beispielsweise im Terminal
>
> cat /Library/LaunchDaemons/com.malwarebytes.HelperTool.plist
>

Das Problem ist, dass das MacBook nicht bei mir wohnt.
Meine Tochter wollte mir die Dateien schicken, hat dann aber eine
Warnmeldung bekommen und sich dann nicht mehr getraut.

> liefert
>
> <key>Program</key>
> <string>/Library/PrivilegedHelperTools/com.malwarebytes.HelperTool</string>
>
> das heist, in /Library/PrivilegedHelperTools/ wird durch das Konfigfile
> die Binary /Library/PrivilegedHelperTools/com.malwarebytes.HelperTool
> ausgefühert.
>

OK, 2 Dateien hat sie mir doch geschickt, die aber apple im Namen haben.
Eine davon enthält das:

<dict>
<key>KeepAlive</key>
<true/>
<key>Label</key>
<string>com.apple.tasard</string>
<key>RunAtLoad</key>
<true/>
<key>Program</key>
<string>/Library/tasard</string>
</dict>

Jetzt müsste ich halt sehen, was in /Library/tasard drin ist.

Könnte an dieser Stelle auch ein kompletter osascript-Aufruf stehen?

> Die Datei, die ausgeführt wird, könnte auch ein Skript sein, dass kannst
> Du Dir genauso auch anschauen, ich glaube im Fall von MacKeeper ruft das
> noch andere Programme ganz woanders auf, die dann auch mitgelöscht
> werden können. Mein "Kontakt" mit MacKeeper ist aber schon eine ganze
> Weile her - ich bin mir nicht mehr ganz sicher - aber ich glaube, dass
> hat auf diese Weise in /Applications/ noch irgendwelche
> Hinterlassenschaften gehabt.

Wenn das MacBook mich nächstes Mal besucht, schau ich mir das genauer
an. Vielleicht komm ich ja auch noch vorher irgendwie an die Dateien.


Gruß, Gerhard

[Robert Welz]

Gerhard Landeck <ne...@glandeck.de> wrote:

> OK, 2 Dateien hat sie mir doch geschickt, die aber apple im Namen haben.
> Eine davon enthält das:
>
> <dict>
> <key>KeepAlive</key>
> <true/>
> <key>Label</key>
> <string>com.apple.tasard</string>
> <key>RunAtLoad</key>
> <true/>
> <key>Program</key>
> <string>/Library/tasard</string>
> </dict>
>
> Jetzt müsste ich halt sehen, was in /Library/tasard drin ist.
>
> Könnte an dieser Stelle auch ein kompletter osascript-Aufruf stehen?

nein, /Library/tasard ist das binary, das als LaunchDaemon ausgeführt
wird. Aber tasard könnte ein Script sein, welches osascript aufruft.
Oder eben ein anderes script mit osascript.

Mache Doch bei dem MacBook Deiner Tochter eine remote-session, z.B. mit
www.join.me



Viele Grüsse,

[Gerhard Landeck]

Robert Welz schrieb:
> Gerhard Landeck <ne...@glandeck.de> wrote:
>

> Mache Doch bei dem MacBook Deiner Tochter eine remote-session, z.B. mit
> www.join.me
>

Auch eine Möglichkeit.

Hat sich aber erledigt. Sie war inzwischen hier. Wir haben versucht,
alle verdächtigen Dateien per Mail an uns selbst zu schicken. Wird alles
mit Virus-Warnung zurückgeschickt. Damit dürfte die Sache klar sein.

Danke an alle, die geholfen haben.

Grüße, Gerhard

[Fritz]

Am 27.11.16 um 21:08 schrieb Gerhard Landeck:

> Robert Welz schrieb:
>> Gerhard Landeck <ne...@glandeck.de> wrote:
>>
>
>> Mache Doch bei dem MacBook Deiner Tochter eine remote-session, z.B. mit
>> www.join.me
>>
>
> Auch eine Möglichkeit.
>
> Hat sich aber erledigt. Sie war inzwischen hier. Wir haben versucht,
> alle verdächtigen Dateien per Mail an uns selbst zu schicken. Wird alles
> mit Virus-Warnung zurückgeschickt. Damit dürfte die Sache klar sein.

Funktioniert einfacher, hier hochladen:
<https://www.virustotal.com/de/>

[Gerhard Landeck]

On Mon, 28 Nov 2016 12:23:33 +0100, Fritz <fr...@tb.nomail.invalid>
wrote:

>Funktioniert einfacher, hier hochladen:
><https://www.virustotal.com/de/>

Geht natürlich auch, aber ob's wirklich einfacher / schneller ist?
Ich werd aber mal testweise 1, 2 Dateien da hochladen, vielleicht
kriegt man da genauere Infos.

Gruß

[Joerg Lorenz]

Am 28.11.16 um 12:23 schrieb Fritz:

> Am 27.11.16 um 21:08 schrieb Gerhard Landeck:
>> Robert Welz schrieb:
>>> Gerhard Landeck <ne...@glandeck.de> wrote:
>>>
>>
>>> Mache Doch bei dem MacBook Deiner Tochter eine remote-session, z.B. mit
>>> www.join.me
>>>
>>
>> Auch eine Möglichkeit.
>>
>> Hat sich aber erledigt. Sie war inzwischen hier. Wir haben versucht,
>> alle verdächtigen Dateien per Mail an uns selbst zu schicken. Wird alles
>> mit Virus-Warnung zurückgeschickt. Damit dürfte die Sache klar sein.
>
> Funktioniert einfacher, hier hochladen:
> <https://www.virustotal.com/de/>
>
>

Das ist AFAIK nur für Windows-Viren tauglich.

--
http://www.albasani.net/index.html.de
Ein freier und kostenloser Server fuer Usenet/NetNews (NNTP)

[Gerhard Landeck]

Joerg Lorenz schrieb:

>> Funktioniert einfacher, hier hochladen:
>> <https://www.virustotal.com/de/>
>>
>>
> Das ist AFAIK nur für Windows-Viren tauglich.
>

Das dachte ich beim ersten Gucken auch. Stimmt aber nicht.
Hat die verdächtigen Dateien als osx.pirrit erkannt.

[Fritz]

Am 29.11.16 um 08:51 schrieb Gerhard Landeck:

Gute Virenscanner müssen Plattform unabhängig erkennen können - vor
allem wen es diese für die jeweiligen Plattformen gibt.