[10.6 Snow Leopard] Malware gefunden

[patric587]

Hallo allerseits,

gestern bekam ich ca. 400 E-Mails mit der Mitteilung, dass eine Nachricht, die ich versenden möchte, leider nicht zugestellt werden kann. Schnell stellte sich heraus, dass jemand über meine Absenderadresse SPAM verschickt. Ich dachte mir nichts großes dabei, denn es ist ja relativ einfach, dass jemand eine andere E-Mail-Adresse als Absender angibt. Auf die Idee, dass das über den (passwortgeschützten) SMTP meines Mailproviders laufen könnte, bin ich gar nicht gekommen.
Heute morgen nach dem Aufstehen habe ich mich nicht mehr in mein Postfach einloggen können. Ein Blick in mein sekundäres Postfach zeigte, dass mein Mailprovider mittlerweile meinen Zugang gesperrt hat, weil tatsächlich alle Mails sogar über den gesicherten SMTP verschickt wurden. Es muss also jemand an das Passwort gekommen sein. Ich habe dann über den AppStore den kostenlosen Bitdefender heruntergeladen, der auch tatsächlich vier Infektionen zeigte:
- 2x Java.Trojan.Exploit.Bytverify.J
- 1x Java.Trojan.Exploit.Bytverify.I
- 1x Java.Exploit.Smid.A

Über die Bitdefender-Logs kommt man ja zum Speicherort der Dateien und da war zu sehen, dass als Änderungsdatum irgendwas aus dem Jahr 2010 war. Ich habe den kompletten Java-Cache gelöscht, weil das lt. meinen Google-Suchergebnissen das Problem schon lösen soll und tasächlich, ein neuer Bitdefender Suchlauf war ergebnislos. Jetzt stellen sich mir drei Fragen:

1. Haben diese beiden Trojaner möglicherweise weiteren Müll auf mein System gespült?
2. Liegt es tatsächlich an diesen Trojanern bzw. einem von denen, dass jemand an mein Mail-Postfach gekommen ist und darüber SPAM verschickt hat? Oder muss ich mir weiterhin Sorgen machen? Über die Wirkweise dieses Schädlings habe ich nämlich nichts gefunden.
3. Bedeutet das Änderungsdatum dieser Dateien im Java-Cache-Unterordner, dass ich tatsächlich seit 2010 diese Trojaner auf meinem System habe, oder heißt das nur, dass die Datei im Jahr 2010 geschrieben wurde? Denn bei der Google-Suche habe ich ganz viele Artikel aus dem Jahr 2010 gefunden, die alle vor diesem Trojaner warnen.

Viele Grüße und TIA
Patric

 

[Kojak19]

Wie willst du Mails über fremde Adressen verschicken, ohne das Passwort zu kennen?
Selbiges solltest du nun übrigends ändern, falls noch nicht geschehen.

 

[patric587]

Wie willst du Mails über fremde Adressen verschicken, ohne das Passwort zu kennen?

Das geht relativ einfach. Eine Google-Suche nach "Mail mit falschem Absender" genügt, um brauchbare Ergebnisse zu bekommen. Man muss nur einen SMTP-Server finden, der nicht passwortgeschützt ist. Den Header kannst du frei bestimmen, wenn du dich per Telnet oder mittels eines PHP-Scripts des SMTP-Servers bedienst. Jedenfalls könnte man sowas "entlarven", indem man sich den Header der Mail anschaut und guckt, ob der SMTP-Server mit der Absenderadresse korreliert, oder nicht. Wenn z.B. eine Mail mit meinem Absender über irgendeinen ausländischen, ungesicherten SMTP geschickt wird, dann könnte man relativ leicht entdecken, dass was faul ist. Da allerdings die gefälschte Absenderadresse als "reply-to" eingetragen ist, kommen diese Mail-Delivery-Failure-Nachrichten auch zum wahren Empfänger.
Jedenfalls bin ich zunächst einfach nur davon ausgegangen, dass jemamd meine Mailadresse als Absender nutzt. Sowas hatte ich vor etlichen Jahren schon mal. Dass allerdings jemand tatsächlich mein Passwort kennt und das über "meinen" SMTP schickt, habe ich nicht mal im Traum geahnt. Ich ging ja noch davon aus, dass Macs gar nicht mit Malware befallen werden können

Selbiges solltest du nun übrigends ändern, falls noch nicht geschehen.

Das war das Erste, was ich heute morgen getan hab!

 

[Kojak19]

Macs sind nur vor Viren sicher (zumindest gibt es keine).

Aber danke für die Erklärung mit dem SMTP-Server.