Spionage bei OSX?

[simmac]

Hast du deine Passwörter irgendwo digital abgespeichert?

 

[echo.park]

Die Frage darf aber berechtigt sein, durch welche unbewusste Handlung die PW in den Notizen gelandet sind. Das ist wirklich erstaunlich.

Absolut.

 

[ottomane]

Nutzt Du einen Passwortmanager oder speicherst Du die Passwörter im Browser? Nutzt Du irgendwelche Passwort-PlugIns im Browser?

Du kannst herausfinden, wann die Notes geändert wurden. Die Notes werden unter

/Users/DEINUSERNAME/Library/Containers/com.apple.Notes/Data/Library/Notes/NotesV2.storedata

gespeichert. Vielleicht gibt das ja auch schon Hinweise.

 

[Ede42]

schakaa, schau doch mal genau wann diese ominöse Passwort-Notiz in den Notizen erstellt wurde. (?)
Übrigens kann man diese Notiz auch ohne Umstände löschen.

 

[schakaa]

Ja, ich denke mittlerweile auch dass es sich eher nicht um Datenmißbrauch handelt sonst wäre wohl zwischenzeitlich schon was abgebucht worden.
Ich bedanke mich für eure Mithilfe und hoffe auf Verständnis dass ich in der ersten Panik diesen Thread hier aufgemacht habe.

 

[schakaa]

Hab mal die von Ottomane angegebene Datei /Users/DEINUSERNAME/Library/Containers/com.apple.Notes/Data/Library/Notes/NotesV2.storedata editiert und tatsächlich stehen unter dem ganzen Binärcode die Passwörter in HTML Tags. Einen Hinweis auf das Änderungsdatum kann ich nicht erkennen.
Die Notizen hatte ich in der App natürlich gelöscht,

Passwortmanager benutze ich nicht auch nicht als Browser Plugin habe nur einige weniger sensible Passwörter im Schlüsselbund gespeichert, das PayPal Passwort aber nicht.


Jetzt wüsste ich natürlich gerne ob ich diese Zeilen ohne Probleme löschen kann.

 

[echo.park]

Ich denke sogar du kannst gleich die komplette Datei löschen, die wird bestimmt einfach wieder neu erstellt, wenn du Notizen öffnest. Nur dann halt eben blanko.

Nur wieso stehen die Inhalte noch in dieser Datei, nachdem du die Notizen gelöscht hast? Soll das so sein? Aber warum?

 

[sedna]

Hallo,

und hmm ja,
das ist wohl ein Graus für Sicherheits-Freaks, denn auch schon gelöschte Notizen lassen sich aus dieser Datei auslesen.

Da du ja keine Notizen zu verlieren hast und auch nur das Lokale Notizbuch nutzt (also nicht über iCloud), sollte es reichen, den Inhalt des Ordners ~/Library/Containers/com.apple.Notes/Data/Library/Notes/ auf den Schreibtisch zu ziehen (und dann ggfs. zu löschen) und das Notizbuch.app neu zu starten.
"Rauslöschen" würde ich nicht empfehlen, denn da dürfte das Notizbuch.app zickig reagieren.
Man kann zwar leicht den Inhalt der Datei auslesen (mit den geeigneten Mitteln sogar schön ohne den "Binärcode") , aber editieren sollte (und wird) dank Sandbox nicht gehen.

-> User, welche die iCloud nutzen, können von Zeit zu Zeit einfach das Notizbuch aus der iCloud kurz entfernen und danach wieder hinzufügen. Das reicht, um diese Datei (bzw. Dateien) zu leeren und neu mit dem tatsächlichen Inhalt des Notizen.app anzulegen.

Jedenfalls kann man anhand der Daten sehen, dass dort wirklich nur Notizen gespeichert sind, welche man selber mal eingefügt hat.

Theoretisch kann man diese Datei manipulieren ... allerdings sollte dem dank Sandbox praktisch schon mal ein Riegel vorgesetzt sein:

Executable=/Applications/Notes.app/Contents/MacOS/Notes
<key>com.apple.security.app-sandbox</key>

Auch könnte man mit einem Skript (AppleScript) neue Notizen erstellen (z.B. auch die Zwischenablage einfügen!), aber auch nur quasi direkt in das geöffnete Notizen.app. Als "Background Only Application", also vollkommen ausgeblendet, lässt sich diese App natürlich nicht starten.
Ich weiß wirklich nicht, wie man am Notizen.app vorbei diese Datei manipulieren könnte ... wobei das nicht heißt, dass das nicht eventuell doch geht.

Ach und da das ja HTML Dateien sind, lassen sich da richtig aufwändige "Notizen" erstellen. Ich hänge mal ein Skript an, welches zeigt, wie Notizen in das App gelangen könnten.


Um die Sache weiter einzugrenzen:
Du hast dein Dock ausgeblendet?
Hast du die Passwörter per Copy&Paste bei z.B. PayPal eingefügt?
Hast du irgendwelche Programme installiert, die ständig mitlaufen und Hotkey-Funktionen besitzen? Alfred, Better Touch Tool usw?


Gruß


Skript, um eine neue Notiz zu erstellen:

--das Skript erstellt eine neue Notiz (mit allem Pipapo)
--bei mehr als einem Account fragt das Skript nach, wohin die neue Notiz soll. Könnte man natürlich auch gleich festlegen.


tell application "Notes"

    set the noteBody to "<html>
    <head>
        <meta http-equiv=\"Content-Type\" content=\"text/html; charset=utf-8\">
        <style type=\"text/css\">
            p{margin-left:12;margin-right:12;margin-bottom:10;font-size:normal;font-family:Verdana,sans-serif;line-height:1.8em;color:#fff;text-align:left;}
            p.signature{font-family:'Noteworthy-Light',serif;font-size:xx-large;text-align:right;margin-right:72px;}
            p.title{margin-top:6px;margin-bottom:8px;font-family:'ArialRoundedMTBold',sans-serif;letter-spacing:1px;font-size:x-large; font-variant:small-caps;}
            div.footer{background-color:#FF00FF;text-align:center;padding-top:6px;padding-bottom:6px;}
            div.background{background-color:#333;margin:0;height:100%;width:100%;}
            div.content{margin-left:auto;margin-right:auto;width:100%;max-width:640px;background-color:#444;padding:18 0 0 0;height:%90;}
            div.banner{-webkit-user-select:none;width:%100;}
            a:link{color:#FFCC66;text-decoration:none;}
            img{max-width:100%;}
            ul{color:#fff;margin-left:1.5em;}
            ol{color:#fff;margin-left:1.5em;}
            li{color:#fff;margin-bottom:6px;font-size:normal;font-family:Verdana,sans-serif;}
        </style>
    </head>
    <body style=\"font-size:normal;font-family:Verdana,sans-serif;line-height:1.8em;color:#fff;text-align:left;word-wrap:break-word;-webkit-nbsp-mode:space;-webkit-line-break:after-white-space;-webkit-line-grid:none;margin:0;height:100%;width:100%;\">
        <div class=\"background\">
            <div class=\"content\">
                <div class=\"banner\"><a href=\"http://xsedna.de\"><img src=\"http://xsedna.de/Sedna/ppc_files/movstill.png\"></a></div>
                <p class=\"title\">XSEDNA</p>
                <p>Hello, my name is Sedna!</p>
                <p>I share my name with a Inuit goddess and a dwarf planet.</p>
                <p> In Mavericks, it is no longer possible simply to reset preferences files by deleting them. They will be automatically restored for most major applications. Therefore I have written a small application as a workaround for this problem. It is free to use.</p>
                <p class=\"signature\">Sedna</p>
                <div class=\"footer\">Get it at <a href=\"http://xsedna.de\">xsedna.de</a></div>
            </div>
        </div>
    </body>
</html>"
    set thisAccountName to my getNameOfTargetAccount("Wähle ein Account:")
    make new note at folder "Notes" of account thisAccountName with properties {name:"xsedna", body:noteBody}
end tell

on getNameOfTargetAccount(thisPrompt)
    tell application "Notes"
        if the (count of accounts) is greater than 1 then
            set theseAccountNames to the name of every account
            set thisAccountName to ¬
                (choose from list theseAccountNames with prompt thisPrompt)
            if thisAccountName is false then error number -128
            set thisAccountName to thisAccountName as string
        else
            set thisAccountName to the name of account 1
        end if
        return thisAccountName
    end tell
end getNameOfTargetAccount

 

[echo.park]

[...] denn auch schon gelöschte Notizen lassen sich aus dieser Datei auslesen.

Damit ist meine Frage geklärt.

User, welche die iCloud nutzen, können von Zeit zu Zeit einfach das Notizbuch aus der iCloud kurz entfernen und danach wieder hinzufügen.

Ist damit der Haken in den Systemeinstellungen unter "iCloud" gemeint?

 

[sedna]

Ja

Gruß

 

[ottomane]

Einen Hinweis auf das Änderungsdatum kann ich nicht erkennen.

Das Änderungsdatum findest Du nicht in der Datei, sondern im Finder oder mittels "ls -al" im Terminal.

 

[Ede42]

Hast du die Passwörter per Copy&Paste bei z.B. PayPal eingefügt?

Dies war mein Hintergedanke, als ich nach dem Entstehungs-Zeitpunkt des Eintrags in "Notizen" fragte.

Wird diese Möglichkeit genutzt, befinden sich diese Angaben sofort auch in der Zwischenablage. Ein Aufrufen der App "Notizen" ohne zwischenzeitlichen Neustart, und versehentlich, ungewollten Klick auf Bearbeiten >Einsetzen, und schwupp erscheint das Passwort in den "Notizen". Für weniger Bewanderte ein kaum nachvollziehbarer Vorgang.

 

[schakaa]

Um die Sache weiter einzugrenzen:
Du hast dein Dock ausgeblendet?
Hast du die Passwörter per Copy&Paste bei z.B. PayPal eingefügt?
Hast du irgendwelche Programme installiert, die ständig mitlaufen und Hotkey-Funktionen besitzen? Alfred, Better Touch Tool usw?

Dock ist eingeblendet, Passwörter nicht per Copy Paste, über die Tastatur bei PayPal eingegeben, kein Programm mit Hotkey Funktion.

Das Änderungsdatum der Datei NotesV2.storedata ist 19. Januar also schon ne weile her.

 

[schakaa]

Hab jetzt den Inhalt von ~/Library/Containers/com.apple.Notes/Data/Library/Notes/ auf der commandline gelöscht die Notes App läuft noch werde jetzt mal abwarten und nach dem nächsten Einloggen bei PayPal nochmal kontrollieren.

Danke für die Hilfe

 

[Balkenende]

Informier uns. Spannend.

 

[schakaa]

Lege ich jetzt ne neue Notiz an sind die Dateien wieder da aber der Inhalt der Notiz ist in
/Users/DEINUSERNAME/Library/Containers/com.apple.Notes/Data/Library/Notes/NotesV2.storedata nicht sichtbar / erkennbar

Ist seltsam, vielleicht war da doch ne Malware im Spiel.
Logge ich mich jetzt bei PayPal ein taucht dort auch kein Passwort auf.
Werde das einfach noch im Auge behalten, dank eurer Hilfe weiss ich ja jetzt wohin ich schauen muss.

 

[sedna]

Nee, Malware ist wirklich extrem unwahrscheinlich.
Auch wenn ich geschrieben habe, dass es theoretisch möglich sein könnte, dass die Datei manipuliert wurde, so tat ich dies nur, weil mein Background-Wissen eher gering ist. Aber ich springe mal aufs Hochseil und behaupte: unmöglich!

aber der Inhalt der Notiz ist in
/Users/DEINUSERNAME/Library/Containers/com.apple.Notes/Data/Library/Notes/NotesV2.storedata nicht sichtbar / erkennbar

Bei mir ist der lokale Account in ~/Library/Containers/com.apple.Notes/Data/Library/Notes/NotesV2.storedata-wal

Mir ist noch eingefallen, dass Notizen wohl noch immer auch ein Bestandteil von Mail ist, auch wenn es jetzt praktisch keine Funktion hat. Keine Ahnung, was eigentlich mit den Notizen passiert, welche dort noch liegen könnten:
(Am Ende des Ordnerbaums ~/Users/space/Library/Mail/V2/Mailboxes/Notes.mbox/...)

Gruß

 

[schakaa]

Auf jeden Fall war es gut dass ich die Dateien mal gelöscht hab.
Werde in Zukunft mal beobachten und mich gegebenenfalls wieder melden.
Danke und Grüße schakaa