Little Snitch Helper-Thread

[DBertelsbeck]

Wie kommst Du darauf?

 

[RedCloud]

Wie kommst Du darauf?

Das zeigt mir LS im Verbindungsverlauf. Bin die ganze Zeit am Sperren von Verbindungen.

Wenn ich meinen iMac neu aufsetzten würde, wäre das Problem wahrscheinlich noch immer bzw. bald wieder da.

Kannst Du einem Dummie wie mir helfen?

 

[DBertelsbeck]

Nein, ich meinte, dass Du einen Trojaner hast und das System neu aufsetzen muss.

 

[RedCloud]

Die von LittleSnitch gemeldeten Verbindungen.
Siehe Post #60

Inzwischen ist .pl (Polen) auch dabei.

 

[Rastafari]

LittleSnitch (von softonic.de)

Und ich Idiot dachte bisher, den gäbe es von obdev.at ?

Was verzweifelte Hilfeschreie des smbd in die gesamte weite Welt betrifft, sollte man sich nicht gleich in Paranoia baden. Das lässt sich bei dieser Protokollfamilie sehr einfach von aussen triggern. Einfach sämtliche Verbindungen von nmblookup auf das lokale Subnetz einschränken und die Sache hat sich.

 

[MacMark]

Genügt es nicht auch, SMB-Sharing für alle User zu deaktivieren?

 

[apfelputzer]

Keine Panik

Wenn ich meinen iMac neu aufsetzten würde,...

Bevor Du deinen iMac neu aufsetzt, lohnt sich vielleicht auch eine Kontrolle der DNS. Diese
sollte die deines Routers sein. Wenn nicht, hilft eventuell die folgende Anleitung weiter.

Eine Änderung der DNS kann nicht ohne weiteres festgestellt werden, so dass der Trojaner
sein Werk ungestört fortsetzen kann. Ob man sich OSX.RSPlug.A eingefangen hat, lässt sich
am einfachsten so feststellen:

* wenn das Verzeichnis /Library/Internet Plug-Ins (das im Top Level des OSX, nicht das
Library-Verzeichnis im User-Directory) eine Datei namens plugins.settings enthält, weist
das auf eine Infektion hin. Da dieser Name natürlich ebenfalls in Zukunft geändert werden
kann, sollte man weitere Punkte prüfen:
* man öffne das Terminal (im Verzeichnis Programme/Dienstprogramme) und tippe dort ein:
sudo crontab -l. Das Administrator-Passwort wird abgefragt, und das Ergebnis dieser Suche
nach cron-Jobs gelistet.
Wenn sich darunter * * * * * “/Library/Internet Plug-Ins/plugins.settings">/dev/null 2>&1
befindet, hat man sich den Schädling eingefangen.

Sollte das System befallen sein, kann OSX.RSPlug.A wie folgt entfernt werden:

* man lösche die Datei plugins.settings im Verzeichnis /Library/Internet Plug-Ins und leere
den Papierkorb.
* man tippe sudo crontab -r ins Terminal ein und bestätige durch Angabe des Admin-Pass-
worts. Die Abfrage sudo crontab -l sollte mit crontab: no crontab for root bestätigen, dass
der cron-Job gelöscht wurde.
* man öffne die Systemeinstellungen, öffne dort »Netzwerk« und dort den Tab »DNS«. Man merke sich die dort stehende Angabe, lösche sie und tippe sie erneut ein.
* man reboote den Mac

Wie bei dem mythologischen Holzpferd, mit dem die Griechen die Trojaner überlisteten, sind
die Erfolgsaussichten von OSX.RSPlug.A gut, wenn der Angegriffene seine Neugierde nicht im
Zaum halten kann. Die schon abgegriffene Warnung gilt immer noch: niemals eine Software
aus einer unklaren Quelle installeren - besonders wenn sie als Installer-Paket erscheint und
nach dem Administrator-Passwort fragt. OSX.RSPlug.A scheint nach den vorliegenden Infor-
mationen ein echter, gefährlicher Schädling zu sein, der möglicherweise nicht nur auf Porno-
seiten auftauchen wird, sondern auch auf Videoseiten oder anderen hochfrequentierten
Plätzen des Web.

 

[RedCloud]

Und ich Idiot dachte bisher, den gäbe es von obdev.at ?

Der Download-Link ist aber sogar identisch. Danke für den Hinweis!

Einfach sämtliche Verbindungen von nmblookup auf das lokale Subnetz einschränken und die Sache hat sich.

nmblookup? Habe ich nicht gefunden. *schäm*

Genügt es nicht auch, SMB-Sharing für alle User zu deaktivieren?

Mac OS X Kernel "telefoniert" weiter.
Ist es ratsam dort alle Verbindungen zu untersagen?

Bevor Du deinen iMac neu aufsetzt, lohnt sich vielleicht auch eine Kontrolle der DNS. Diese
sollte die deines Routers sein. Wenn nicht, hilft eventuell die folgende Anleitung weiter.

Eine Änderung der DNS kann nicht ohne weiteres festgestellt werden, so dass der Trojaner
sein Werk ungestört fortsetzen kann. Ob man sich OSX.RSPlug.A eingefangen hat, lässt sich
am einfachsten so feststellen:

* wenn das Verzeichnis /Library/Internet Plug-Ins (das im Top Level des OSX, nicht das
Library-Verzeichnis im User-Directory) eine Datei namens plugins.settings enthält, weist
das auf eine Infektion hin. Da dieser Name natürlich ebenfalls in Zukunft geändert werden
kann, sollte man weitere Punkte prüfen:
* man öffne das Terminal (im Verzeichnis Programme/Dienstprogramme) und tippe dort ein:
sudo crontab -l. Das Administrator-Passwort wird abgefragt, und das Ergebnis dieser Suche
nach cron-Jobs gelistet.
Wenn sich darunter * * * * * “/Library/Internet Plug-Ins/plugins.settings">/dev/null 2>&1
befindet, hat man sich den Schädling eingefangen.

Sollte das System befallen sein, kann OSX.RSPlug.A wie folgt entfernt werden:

* man lösche die Datei plugins.settings im Verzeichnis /Library/Internet Plug-Ins und leere
den Papierkorb.
* man tippe sudo crontab -r ins Terminal ein und bestätige durch Angabe des Admin-Pass-
worts. Die Abfrage sudo crontab -l sollte mit crontab: no crontab for root bestätigen, dass
der cron-Job gelöscht wurde.
* man öffne die Systemeinstellungen, öffne dort »Netzwerk« und dort den Tab »DNS«. Man merke sich die dort stehende Angabe, lösche sie und tippe sie erneut ein.
* man reboote den Mac

Wie bei dem mythologischen Holzpferd, mit dem die Griechen die Trojaner überlisteten, sind
die Erfolgsaussichten von OSX.RSPlug.A gut, wenn der Angegriffene seine Neugierde nicht im
Zaum halten kann. Die schon abgegriffene Warnung gilt immer noch: niemals eine Software
aus einer unklaren Quelle installeren - besonders wenn sie als Installer-Paket erscheint und
nach dem Administrator-Passwort fragt. OSX.RSPlug.A scheint nach den vorliegenden Infor-
mationen ein echter, gefährlicher Schädling zu sein, der möglicherweise nicht nur auf Porno-
seiten auftauchen wird, sondern auch auf Videoseiten oder anderen hochfrequentierten
Plätzen des Web.

Kein Router, nur DSL-Modem.
crontab hat nichts gefunden.

Und:

Anhang anzeigen 48230
Anhang anzeigen 48231

 

[MacMark]

Führe dies im Terminal aus:

sudo lsof -i > ~/Desktop/inet.txt

Anschließend häng die Datei inet.txt, die auf Deinem Desktop liegt, hier an.

 

[Rastafari]

nmblookup? Habe ich nicht gefunden.

Gehört zum vorgegebenen Standardregelsatz von LS.
Ist fürs ganze Inet freigegeben, aber das braucht doch keine alte Sau kein Mensch.

(Genauer gesagt: Wer das auch nur im eigenen LAN braucht, ist doch schon bloss noch zur Hälfte Mensch... )

 

[RedCloud]

Führe dies im Terminal aus:

sudo lsof -i > ~/Desktop/inet.txt

Anschließend häng die Datei inet.txt, die auf Deinem Desktop liegt, hier an.

Auftrag ausgeführt: Anhang anzeigen 48234

 

[MacMark]

Am Eintrag

nmbd      492           root    6u  IPv4 0x70ce298      0t0    UDP *:netbios-ns
nmbd      492           root    7u  IPv4 0x70cfb10      0t0    UDP *:netbios-dgm

sieht man, daß Du Windows File Sharing an hast.

Sharing > File Sharing > Options > Share files and folders using SMB

Wenn das aktiv ist, dann läuft der nmbd, sonst nicht.

 

[RedCloud]

Am Eintrag ...

Schaue ich mir gleich mal an.

 

[Zeisel]

Wenn das aktiv ist, dann läuft der nmbd, sonst nicht.

Ich habe FileSharing nicht aktiv (für keinen Benutzer) und dennoch folgende Einträge:
nmbd 151 root 6u IPv4 0x5f252a0 0t0 UDP *:netbios-ns
nmbd 151 root 7u IPv4 0x5f25be8 0t0 UDP *:netbios-dgm
nmbd 151 root 8u IPv4 0x5f25960 0t0 UDP ThosMacBook:netbios-ns
nmbd 151 root 9u IPv4 0x5f261d0 0t0 UDP ThosMacBook:netbios-dgm

Vielleicht parallels? Das kann ich zur Zeit (um das zu testen) nur nicht abschalten, da eine Anwendung (mit Netzzugriff) läuft...

 

[MacMark]

Es ist unabhängig davon, ob es für einen Benutzer aktiv ist. Der Haken darüber mit Beschriftung "Share files and folders using SMB" ist entscheidend.

 

[Zeisel]

Da sollte normal nichts aktiv sein...?

Und nach einem Blick in die Optionen:

 

[MacMark]

So sollte kein nmbd von OS X aus aktiv sein.

 

[Zeisel]

Wenn ich meinen iMac neu aufsetzten würde, wäre das Problem wahrscheinlich noch immer bzw. bald wieder da.

Ich habe das Programm nicht getestet, nur davon gehört, und einige Trojaner sollen u.a. von der Software erkannt werden, auch der Trojan.OSX.RSPlug.A, der weiter oben schon genannt wurde:
http://www.iantivirus.com/threats/index/query/T/

Das Programm solltest Du vielleicht mal über Deinen Mac schauen lassen...

 

[Zeisel]

So sollte kein nmbd von OS X aus aktiv sein.

Habe jetzt Parallels mal beendet, aber die vier Einträge (nmbd) bleiben.

 

[MacMark]

Auch nach Neustart?