Wie den Facebook-Trojaner auf meinem Macn wieder loswerden

[bofrostfrau]

Hallo zusammen,
am Wochenende hat mein MacbookPro über Facebook einen Trojaner an einige meiner Freunde losgeschickt. Der Text lautete “Das solltest du dir ganz dringend ansehen!!! video-of-the-week.com/name.exe", wobei “Name” hier für einen Vor- und Nachnamen steht, der sich immer wieder ändert. So ein Trojaner mit allerdings anderen URLs ist hier beschrieben: http://www.mimikama.at/allgemein/trojaner-warnung-vor-das-solltest-du-dir-ganz-dringend-ansehen/
Ich habe NICHT auf irgendwelche links geklickt, die mir gesendet wurden. (Könnte ich aber eh nicht öffnen, weil das ja .exe-Dateien sind, oder?)
Auf jeden Fall startet mein Mac auch "normal" noch, ist aber ultra langsam, auch der Internettraffic ist eingeschränkt. Er liegt so bei 3 KB/s.
Ich hab Mac OSX Version 10.6.8., kurz bevor der Trojaner verschickt wurde habe ich das Apple Update mit Itunes 7 installiert.
Mein Macbook lässt sich im abgesicherten Modus starten und läuft so in einer normalen Geschwindigkeit, auch der Internettraffic ist normal. Laut der oben genannten Homepage finden EsetNod, McAffee, Kapersky und Jiangmin den Trojaner. Eset Nod kann "auf Grund eines Fehlers" nicht installiert werden. Kapersky startet im abgesicherten Modus nicht. Im normalen Modus kann ich es praktisch nicht updaten bei einem so geringem Traffic. Jiangmin konnte ich bisher nicht für Mac finden. Clamxav findet nichts. McAffe hat am Wochenende nichts gefunden, lasse ihn jetzt gerade nochmal suchen...
Ein aktuelles Backup von Time Machine habe ich, allerdings finde ich die InstallationsCD vom Mac nicht
Google konnte mir bisher nicht wirklich weiterhelfen, der Trojaner is glaube ich noch recht neu...

Irgendjemand Ideen, wie ich den Trojaner wegbekommen?
Danke

 

[echo.park]

Zuerst mal ist zu klären, ob der Trojaner überhaupt unter Mac OS lauffähig ist. Wenn es eine .exe ist, dann ist sie wohl für Windows gedacht.

 

[ImperatoR]

Gib mal im Terminal folgendes ein:

ps ax

Und poste den Inhalt in Code-Tags hier.

 

[below]

Wahrscheinlich hast Du auf Deinem Mac keinen Trojaner.

Und möglicherweise glaubst Du nur, auf nichts geklickt zu haben: http://www.focus.de/digital/interne...er-nehmen-facebook-ins-visier_aid_606699.html

Alex

 

[echo.park]

Gib mal im Terminal folgendes ein:

ps ax

Und poste den Inhalt in Code-Tags hier.

Vielleicht kannst du noch kurz sagen was das bedeutet.

 

[below]

The ps utility displays a header line, followed by lines containing information about all of your processes that have controlling terminals.

-a Display information about other users' processes as well as your own. This will skip any processes which do not have a controlling terminal, unless the -x option is also specified.

-x When displaying processes matched by other options, include processes which do not have a controlling terminal.

http://developer.apple.com/library/mac/#documentation/Darwin/Reference/ManPages/man1/ps.1.html

Alex

 

[ImperatoR]

Steht doch alles in der manual.

Ganz einfach: Dieser Befehl stellt eine Liste aller gestarteten Prozesse zusammen.

 

[Snoopy181]

Inwiefern unterscheidet sich diese Auflistung von der Aktivitätsanzeige in den Dienstprogrammen?

 

[below]

Inwiefern unterscheidet sich diese Auflistung von der Aktivitätsanzeige in den Dienstprogrammen?

Ich denke dadurch, dass Du sie besser kopieren und posten kannst

Alex

Und wenn es ein funktionierendes Rootkit für OS X geben würde, dann würde Dir das alles gar nichts nützen, aber das ist eine andere Geschichte …

 

[Snoopy181]

Ok, gut zu wissen.

 

[bofrostfrau]

also im sicheren Systemstart sind nach Neustart die Prozesse in der Aktivitäsanzeige und im Terminal über ps ax identisch.

 

[VisioNOIR]

Das ist klar. Es geht eher darum, _welche_ Prozesse bei Dir laufen.

 

[bofrostfrau]

Last login: Wed Dec  5 12:05:16 on console
noname:~ Ida$ ps ax
  PID   TT  STAT      TIME COMMAND
    1   ??  Ss     0:00.80 /sbin/launchd
   14   ??  Ss     0:16.83 /usr/libexec/kextd
   15   ??  Ss     0:04.37 /usr/sbin/DirectoryService
   16   ??  Ss     0:00.15 /usr/sbin/notifyd
   17   ??  Ss     0:00.37 /usr/sbin/syslogd
   18   ??  Ss     0:02.71 /usr/libexec/configd
   19   ??  Ss     0:00.15 /usr/sbin/distnoted
   20   ??  Ss     0:01.12 /usr/sbin/blued
   21   ??  Ss     0:00.15 /usr/sbin/diskarbitrationd
   22   ??  Ss     0:00.54 /usr/sbin/mDNSResponder -launchd -StrictUnicastOrder
   30   ??  Ss     0:00.26 /usr/sbin/securityd -i
   32   ??  Ss     0:02.65 /System/Library/CoreServices/coreservicesd
   33   ??  Ss     0:00.10 /usr/sbin/ntpd -c /private/etc/ntp-restrict.conf -n 
   34   ??  Ss     0:00.44 /usr/sbin/cupsd -l
   36   ??  Ss     0:00.20 /usr/sbin/nmbd -F
   37   ??  Ss     0:00.53 /usr/sbin/krb5kdc -n
   38   ??  Ss     0:00.01 /usr/sbin/cron
   41   ??  Ss     0:00.11 /System/Library/PrivateFrameworks/MobileDevice.frame
   42   ??  Ss     0:00.03 /sbin/SystemStarter
   46   ??  Ss     0:00.09 /System/Library/CoreServices/RemoteManagement/AppleV
   48   ??  Ss     0:00.11 /System/Library/CoreServices/ODSAgent.app/Contents/M
   49   ??  Ss     0:00.87 /System/Library/Frameworks/CoreServices.framework/Fr
   50   ??  Ss     0:01.66 /System/Library/CoreServices/loginwindow.app/Content
   51   ??  Ss     0:00.02 /usr/sbin/KernelEventAgent
   53   ??  Ss     0:00.58 /usr/libexec/hidd
   54   ??  Ss     0:00.10 /System/Library/Frameworks/CoreServices.framework/Ve
   56   ??  Ss     0:00.05 /sbin/dynamic_pager -F /private/var/vm/swapfile
   62   ??  Ss     0:00.02 autofsd
   67   ??  Ss     0:00.70 /usr/libexec/ApplicationFirewall/socketfilterfw
   90   ??  Ss     0:00.46 /usr/sbin/httpd -D FOREGROUND
   92   ??  S      0:00.00 /usr/sbin/httpd -D FOREGROUND
  108   ??  S      0:01.01 /Library/Printers/hp/hpio/HPIO Trap Monitor.app/Cont
  111   ??  Ss     0:08.50 /System/Library/Frameworks/ApplicationServices.frame
  136   ??  Ss     0:00.08 /usr/sbin/coreaudiod
  138   ??  Ss     0:00.14 /sbin/launchd
  142   ??  S      0:01.47 /System/Library/CoreServices/Dock.app/Contents/MacOS
  143   ??  S      0:02.13 /System/Library/CoreServices/SystemUIServer.app/Cont
  144   ??  S      0:14.00 /System/Library/CoreServices/Finder.app/Contents/Mac
  147   ??  S      0:00.02 /usr/sbin/pboard
  148   ??  Ss     0:00.65 /Library/McAfee/cma/bin/cma
  150   ??  S      0:04.78 /usr/libexec/UserEventAgent -l Aqua
  153   ??  S      0:00.15 /System/Library/CoreServices/RemoteManagement/AppleV
  158   ??  S      0:00.29 /System/Library/CoreServices/AirPort Base Station Ag
  160   ??  S      0:00.06 /System/Library/CoreServices/CCacheServer.app/Conten
  162   ??  S      0:00.89 /System/Library/Frameworks/ApplicationServices.frame
  176   ??  S      0:00.45 /System/Library/Frameworks/IMCore.framework/iChatAge
  181   ??  R      0:01.05 /Applications/Utilities/Terminal.app/Contents/MacOS/
  187   ??  S      0:01.18 /Applications/Utilities/Activity Monitor.app/Content
  189   ??  Ss     0:00.43 /Applications/Utilities/Activity Monitor.app/Content
  190   ??  S      0:00.24 /System/Library/Frameworks/QuickLook.framework/Resou
  183 s000  Ss     0:00.21 login -pf Ida
  184 s000  S      0:00.03 -bash
  192 s000  R+     0:00.01 ps ax
noname:~ Ida$

 

[echo.park]

Gehts jetzt hierbei darum einen OSX Trojaner zu suchen, wobei doch noch garnicht klar ist, ob er einen hat. Das von ihm beschriebene Problem geht ja um eine .exe.

Oder geht es darum, seine Systembremse zu finden?

 

[below]

Du hast McAffe auf Deinem Mac? Dann wundert es mich nicht, dass Dein Rechner elendig langsam ist …

Gruss

Alex

 

[Balkenende]

--> Auf McAfee wollte ich auch hinweisen.

Was macht Dein System, wenn Du den rückstandslos entfernst & neu startest? Schneller?

 

[Snoopy181]

Gehts jetzt hierbei darum einen OSX Trojaner zu suchen, wobei doch noch garnicht klar ist, ob er einen hat.

Deswegen sucht man ja danach...

 

[echo.park]

Deswegen sucht man ja danach...

Naja, ich dachte eigentlich immer, bevor überhaupt nach etwas gesucht wird werden Parolen gebracht, so wie "für Mac gibt es nix". Das ist meine Erfahrung, auch in diesem Forum, deswegen wundert es mich.

 

[Snoopy181]

Das ist so nicht richtig; auch für den Mac gibt es Schadsoftware. Allerdings in deutlich geringerem Ausmaß und damit sie tätig werden kann, muss der User ihr, zum Beispiel durch das Verschaffen von root-Rechten, ein wenig unter die Arme greifen. Wie immer hilft in diesem Falle Brain 2.0.

 

[bofrostfrau]

Also mein Mac ist bei normalen Start sehr langsam und das seitdem über Facebook von mir Nachrichten verschickt wurden, die den gleichen Text enthielten wie der Trojaner. Die Virensoftware habe ich erst danach installiert. Werde nun die Virensoftware deinstallieren. Reicht es hier die Programme einfach in den Papierkorb zu ziehen und diesen zu löschen, oder muss ich noch was anderes machen um diese rückstandslos zu entfernen?