Safari dauerhaft beenden nicht möglich

[Till Heinz]

Auf meinem MBP lässt sich Safari nur noch durch "Sofort beenden" beenden, um sofort neu zu starten. Safari ist nicht als Autostartobjekt angemeldet. Es sind keine Erweiterungen installiert. Unter Systemeinstellungen Sicherheit Datenschutz Automation steht Finder und darunter mit einem Kästchen, in dem man ein Häkchen setzen kann, Safari. Wenn ich das Häkchen lösche, poppt ein Fenster auf, in dem Finder Zugriffsrechte auf Safari verlangt. Die Auswahl "Nicht erlauben" wird nicht akzeptiert, das Fenster poppt immer wieder auf. In der Hoffnung, daß das Problem so verschwindet, habe ich auf 10.14.3 aktualisiert, hat aber nicht geholfen. Auch wenn ich das Häkchen nicht setze, startet Safari trotzdem automatisch neu, wenn ich es "sofort beende". Kennt jemand dieses Problem, ich habe dazu im Netz leider nichts gefunden.

 

[Marcel Bresink]

Ohne weitere Informationen kann man nur raten, aber das hört sich nach einem Angriff eines Trojanischen Pferdes an, das sich unter dem Namen "Finder" tarnt, um Zugang zu Safari zu bekommen.

Wenn der Dialog zur Berechtigung von Automation kommt, öffne mal das Programm "Aktivitätsanzeige", stelle sicher, dass es auf "Darstellung > Alle Prozesse" geschaltet ist und gib im Suchfeld "Finder" ein. Erscheint dann nur ein Prozess mit dem Namen Finder oder mehrere?

 

[Till Heinz]

Danke für die schnelle Antwort. Da läuft "Finder" tatsächlich zweimal, mit unterschiedlichen Icons.

 

[Marcel Bresink]

OK, das würde die Theorie bestätigen.

Wähle nun den Finder mit dem ungewöhnlichen Icon in der Prozessliste aus und wähle im Zahnradmenü in der Symbolleiste den Punkt "Prozess analysieren". Nach ein paar Sekunden müsste ein Bericht in Textform kommen. In der fünften Zeile steht die Angabe "Path".

Der richtige Finder hat als Path die Angabe "/System/Library/CoreServices/Finder.app/Contents/MacOS/Finder".

Über die Angabe, die beim gefälschten Finder steht, müsste man herausbekommen, an welcher Stelle auf dem System sich der Angreifer eingenistet hat.

 

[Till Heinz]

Ich hab die nächsten Zeilen gleich mal mitkopiert:
Path: /Users/tillheinz/Library/Application Support/.dir/Finder.app/Contents/MacOS/Finder
Load Address: 0x1088fb000
Identifier: com.company.macosdefender
Version: 3.4 (14)
Code Type: X86-64

 

[ChrisW90]

Ohne weitere Informationen kann man nur raten, aber das hört sich nach einem Angriff eines Trojanischen Pferdes an, das sich unter dem Namen "Finder" tarnt, um Zugang zu Safari zu bekommen.

Wenn der Dialog zur Berechtigung von Automation kommt, öffne mal das Programm "Aktivitätsanzeige", stelle sicher, dass es auf "Darstellung > Alle Prozesse" geschaltet ist und gib im Suchfeld "Finder" ein. Erscheint dann nur ein Prozess mit dem Namen Finder oder mehrere?

Absolutes OT, aber: Ich bin immer wieder überrascht, wie kompetent und interessant deine Antworten sind. Unglaublich, wievielen Leuten du hier schon geholfen hast. Dafür wollte ich mich stellvertretend hier mal bedanken!

 

[Marcel Bresink]

OK, das ist offenbar eine neue Variante der Malware "MacOSDefender", die sich in einen versteckten Ordner gelegt hat.

1. Melde Dich vom System ab.
2. Melde Dich wieder an, wobei Du während der Startphase der grafischen Oberfläche die Shift-Taste festhältst.
3. Gehe in den Finder und wähle "Gehe zu > Gehe zum Ordner".
4. Übertrage den Pfad /Users/tillheinz/Library/Application Support/.dir als Angabe des Ordners.
5. Lösche alle Dateien in dem Ordner ".dir", die der Finder jetzt anzeigt, auch den versteckten Ordner ".dir" selbst.
6. Starte das System neu.

Wahrscheinlich hat die Malware einige Dinge in Safari verstellt, z.B. die Startseite und die Suchmaschine. Das müsste danach überprüft und korrigiert werden.

 

[Till Heinz]

Mensch, vielen Dank, das probiere ich jetzt und melde mich dann wieder!

 

[Till Heinz]

Ich komme nur bis /Library/ öffne dann Applications Support mit Doppelklick, aber da ist dann (natürlich) kein Ordner .dir.

Habe dann im Terminal "defaults write com.apple.finder AppleShowAllFiles 1" eingegeben, sehe aber trotzdem keinen Ordner .dir.

 

[Till Heinz]

So, bin drinnen. Das Objekt "Finder" kann nicht in den Papierkorb gelegt werden, da es geöffnet ist.

 

[Till Heinz]

Scheint geklappt zu haben. Es läuft nur noch ein Finder. Vielen, vielen Dank nochmal. Marcel, kann ich Dir irgendwas Gutes tun?

Nach Trennung vom Internet habe ich erst einzelne Dateien löschen können (die er vorher immer wieder neu geschrieben hat), dann den Prozess/das Programm selber. Dann Neustart, noch einmal alle Sicherheitseinstellungen gecheckt und dann ins Internet.


Hab gerade überlegt, wie ich mir das überhaupt eingefangen habe. Ich spiele normalerweise nie Internetspiele und habe vor ein paar Tagen davon eine Ausnahme gemacht. Dabei musste ich den flash player installieren. Es wird mir eine Lehre sein!

 

[dg2rbf]

Hi,
würde auch den Adobe FlashPlayer deinstallieren, eine Seite oder Spiel die sowas Benötigt ist Müll, Adobe hat den den FlashPlayer abgekündigt.

Gruß Franz

 

[Till Heinz]

Drecksack war doch noch da. Es gab auch noch ein doppeltes Dock.

 

[Reisefieber]

Hallo in diesem Thread,
hatte das gleiche Problem mit Safari und habe exakt die Anleitung von User Bresink befolgt.
Ergebnis: TOP! Habe mich deshalb hier registriert um "Vielen Dank für die Lösung!! "zu sagen.

 

[SabineEhrenlechner]

Hallo zusammen,
leider bin ich vollkommen am Verzweifeln.
Ich bin echt froh, diese Antworten hier gefunden zu haben.
Es scheint sich genau um mein Problem zu handeln...nur finde ich im gesicherten Modus in meinem Finder bei "gehe zu" nicht meinem Pfad....der da heissen müsste "/Users/USER/Library/Application Support/ .dir/Finder .app/Contents/MacOS/Finder"

hier der originale Text:
Sampling process 446 for 3 seconds with 1 millisecond of run time between samples
Sampling completed, processing symbols...
Analysis of sampling Finder (pid 446) every 1 millisecond
Process: Finder [446]
Path: /Users/USER/Library/Application Support/.dir/Finder.app/Contents/MacOS/Finder


Ich habe versucht im Terminal die verborgenen Dateien anzeigen zu lassen mit den Befehlen
killall Finder
defaults write com.apple.finder AppleShowAllFiles 1
killall Finder

Trotzdem keine .dir Dateien, die mir angezeigt werden, wenn ich sie suche.


Was mache ich falsch?

Herzlichen Dank schonmal!

 

[SabineEhrenlechner]

Sorry für meine Hartnäckigkeit....Marcel Bresink..kannst du mir bitte helfen, die .dir Dateien zu finden?
Danke!
Sabine

 

[Macbeatnik]

Bist du denn in der richtigen Library, gemeint ist deine BenutzerLibrary, Die BenutzerLibrary ist unter Lion und neuer versteckt, du erreichst sie zum Beispiel indem du in Finder/Gehe zu/ die AltTaste gedrückt hältst.

 

[SabineEhrenlechner]

Jetzt hab ich es gefunden! Vielen Dank....habe den .dir Ordner!
DANKE Macbeatnik

 

[SabineEhrenlechner]

Hallo Macbeatnik,
ich habs gefunden!!! Du bist so ein Schatz!
Ich konnte die .dir Datei löschen und hab auch den Papierkorb damit gelöscht. Bis jetzt geht Safari nicht mehr dauernd auf.
Vielen DANK!!!

 

[EvaMariaElsabeth]

Super Anleitung, wäre ich alleine nie drauf gekommen und hat hervorragend funktioniert