Virus blockiert ganzen Schreibtisch

[Producer]

Also der ganze Mist muss eh runter. Würde dir mal vorschlagen Avira inkl allem was zu Avira gehört zu deinstallieren. CleanMymac auch rausschmeissen. Weg muss es ja eh. Flasplayer am Schluss deinstallieren oder aktualisieren.

Versteh mich nicht falsch, ich bin absolut Deiner Meinung, dass die App's runter müssen. Ist in Null Komma Nix gemacht. Aber wie löse ich den mein wirkliches Problem?

 

[landplage]

Aber was ändert sich dann an meinem Problem, dass beim Hochfahren, diese "Malware" den User blockt? Und er blockt nur den User.

In der Library nach den Startobjekten suchen, dort MUSS ein Eintrag sein, der diese Meldung startet. Die Pfade stehen im EtreCheck-Protokoll.

Probire mal, auf das "Check Files" bei den "unknown Obejekts" zu klicken.

 

[implied]

Also ich persönlich würde da gar nicht weiter rumprobieren.
Tabula rasa machen kostet wohl am ende wenger Zeit: Starten mit cmd-r um die Wiederherstellung zu starten und dann eine TimeMachine Wiederherstellung machen auf den Zeitpunkt kurz vor dem eindeutigen Benutzerfehler, diese ZIP-Datei zu öffnen.

Liegt keine TimeMachine Sicherung vor sollte man sich sowieso unabhängig von dem Problem und mal ganz allgemein Gedanken um Sicherungsstrategien im Unternehmen machen. Sollten im Falle fehlender Sicherungen wirklich wichtige, und auch nicht anderweitig gesicherte Daten auf dem Rechner sein, kommen hier hoffentlich noch weitere hilfreiche Vorschläge.
Hier würde ich auf einer externen Platte ein OS installieren, von diesem starten und manuell die benötigten Daten von dem Rechner kopieren, diesen dann platt machen und neu installieren.Ich drücke mal die Daumen

 

[MadMacMike]

Sehr verzwickt. Ich denke, dass man das System neu aufsetzen sollte.
Geht einfach schneller. Ein Backup gibt es doch ?

 

[raven]

Versteh mich nicht falsch, ich bin absolut Deiner Meinung, dass die App's runter müssen. Ist in Null Komma Nix gemacht. Aber wie löse ich den mein wirkliches Problem?

Du hat ein aktuelles Backup. Dann würde ich den Mac neu aufsetzen. Obwohl ich kein Freund von *neuaufsetzen* bin.
Aus dem backup nur die Daten manuell holen und nicht das ganze Backup einspielen.

Trat das Problem genau nach dem *Post-Zip der CH-Post* auf?
Soweit bekannt, versendet die Post keine Zip.

um die Wiederherstellung zu starten und dann eine TimeMachine Wiederherstellung machen auf den Zeitpunkt kurz vor dem eindeutigen Benutzerfehler,

Jo oder so nach der Anleitung. Auch eine Varainte

Immer vorausgesetzt, dass das Zip die wirkliche Ursache ist.

 

[Producer]

Die ZIP Datei kam gestern per E-Mail. Das TimeBackup ist gemäss User vorhanden. Dann werde ich ihm mal sagen er soll aus dem Backup neu aufspielen, oder die Disk wo das Backup drauf ist, mitbringen dann spiele ich das Backup vom 25.04.2017 auf.

 

[ottomane]

Ich bin relativ erstaunt, dass es aktive und erfolgreiche Mac-Malware jenseits von Adware "in the wild" gibt.

Man sollte eventuell darüber nachdenken, ob das ein gezielter Angriff auf deinen Chef war. War es für den Angreifer naheliegend die Schweizer Post als Absender zu wählen?

 

[raven]

Disk? Ist das Backup nicht auf einer externen Festplatte?
Und das Loch *Flashplayer* würde ich auch angehen.

P.S Ist es ein Firmenrechner? Frage nur einfach mal so.

 

[Producer]

War es für den Angreifer naheliegend die Schweizer Post als Absender zu wählen?

Ich bin auch schockiert! Weil der allerbeste ist, als Erstes sagt mir mein Chef, und er ist wirklich nicht der allerdümmste User, er erwarte zuhause ein dringendes Paket und promt gestern war niemand zuhause. Am Abend dann, kam diese E-Mail mit dem ZIP Anhang! Ok, wenn man die E-Mail anschaut in Outlook 2016 auf einem Windows Rechner und bei entsprechender Ansichteinstellung sieht man sofort, die Adresse kann niemals von der Post sein. Aber dennoch, sehr verdächtig, dass die E-Mail genau dann kommt..

 

[Producer]

Disk? Ist das Backup nicht auf einer externen Festplatte?
Und das Loch *Flashplayer* würde ich auch angehen.

P.S Ist es ein Firmenrechner? Frage nur einfach mal so.

Sagt man hier so Sorry, habe ich frei übersetzt. Natürlich ist das Backup auf einer HDD (oder vielleicht SSD).

Nein, der Rechner ist privat.

 

[ottomane]

Man sollte in Betracht ziehen, dass dies kein Zufall war. Die Meldung des Virus' ist meines Wissens nach unüblich. Man findet darüber nichts im Internet.

 

[raven]

Nein, der Rechner ist privat.

Oh ich hatte es mir gdacht. Cheffe (DAU) verbockt was und die Admins in der Firma baden es aus

Da habe ich schon ein Deja Vue.
*SCNR*

Zurück zum Thema.

Man sollte in Betracht ziehen, dass dies kein Zufall war.

P.S @ottomane Das war kein Angriff auf den Cheffe. Das war Cheffe in seiner Unwissenheit. Bin ich beinahe sicher.

 

[implied]

Ich habe auch mal im Netz rumgeschaut. Zu der hier gezeigten Meldung sowie unter verschiedenen Suchbegriffen habe ich, wie bereits @ottomane aber nichts gefunden. Scheint also eher was Neues zu sein.
Interessant wäre mal ein screenshot von der E-Mail, vielleicht mit vollem Header.

 

[Marcel Bresink]

In der Library nach den Startobjekten suchen, dort MUSS ein Eintrag sein, der diese Meldung startet.

Nicht wirklich, da gibt es noch Dutzende andere, viel raffiniertere Mechanismen, um Programme automatisch starten zu lassen.

 

[Balkenende]

Mal am Rande. Und nochmals hier.

In Firmen gehören .zip .doc und Konsorten komplett geblockt.

In denen findet sich Huckepack mit größter Wahrscheinlichkeit immer was, das man nicht haben will.

In Zeiten von DSL und Verschlüsselungsmethoden braucht kein Mensch gezippte Formate, die überaus anfällig und leicht manipulierbar sind.

.doc als Format stammt aus einer Entwicklung im letzten Jahrtausend. Da nimmt man also .docx oder andere aktuelle Äquivalente.

Der Thread könnte insoweit hilfreich für alle andere sein. Solche vorgenannten Dateien löscht man bedingungslos und schreibt dem Versender, wenn er denn bekannt ist, er möge ggf Dokumente in einem sicheren Format senden.

Privat sollte man das natürlich auch tun.

 

[echo.park]

Die zip-Datei mal bei Virustotal hochladen.

Rechner platt machen und alle Passwörter ändern. Und zwar am besten schon gestern.

 

[Bountyhunter]

Ich denke darüber ist er schon hinaus Echo!

 

[echo.park]

Ich denke darüber ist er schon hinaus Echo!

Hört sich für mich nicht so an.

Aber besser ist es.

 

[paul.mbp]

irgendwie bin ich auch der Meinung von @ottomane
das scheint ein gezielter Angriff auf den Cheffe zu sein

zu dieser Meldung findet sich nullkommagarnix im www, und das er just zu dem Zeitpunkt als er Post erwartet eine Mail von der "Post" bekommt... komisch komisch. Nur mal so aus Interesse: arbeitet der Chef vielleicht an einem "interessanten" Projekt? An informationstechnisch interessanten Dingen? Vielleicht mal in diese Richtung denken, evtl. war das nicht der letzte / einzige Angriff und man nimmt sich nun verschiedene andere Accounts in der Firma vor?

P.S. was ich jedoch nicht verstehe: da ist man in der Lage Malware zu programmieren, schafft es aber nicht den Meldungstext in brauchbarem Deutsch auszuliefern. Wäre der Text sorgfältiger formuliert wäre die Wahrscheinlichkeit ungleich höher das jemand tatsächlich draufklickt.

 

[raven]

Bitte mal an alle Beteiligten, bevor nman nach geziehlten *Angriffen* sucht das lesen.

Man sollte eventuell darüber nachdenken, ob das ein gezielter Angriff auf deinen Chef war.

Nur mal so aus Interesse: arbeitet der Chef vielleicht an einem "interessanten" Projekt? An informationstechnisch interessanten Dingen?

P.S Ist es ein Firmenrechner? Frage nur einfach mal so.

Nein, der Rechner ist privat.

@Producer Konnte das Problem eingekreist und/oder gelöst werden?