Malware? Komische Datei

[Chibi88]

<div class="bbWrapper">Hallo,<br /> <br /> ich habe eben KnockKnock durchlaufen lassen und habe eine komische Datei gefunden. KnockKnock kennt die Datei nicht und VT hat &quot;unknown&quot; bei Ergebnissen im Terminal gelistet. <br /> <br /> Kennt ihr diese Datei?<br /> <br /> Zweites Bild habe ich auch gefunden. Kenne ich so nicht.</div>

 

[MacAlzenau]

<div class="bbWrapper">Was ist KnockKnock? Kennt das jemand?<br /> Gibt es einen Grund, warum dieses KnockKnock einen standardmäßigen Druckerdämon kennen oder nicht kennen sollte?</div>

 

[u0679]

<div class="bbWrapper">Schau mal hier<br /> <br /> <a href="https://www.heise.de/security/meldung/Antiviren-Software-und-Apples-Schutzmechanismen-fuer-Mac-OS-X-nutzlos-2620049.html" target="_blank" class="link link--external" rel="noopener">https://www.heise.de/security/meldu...echanismen-fuer-Mac-OS-X-nutzlos-2620049.html</a></div>

 

[Chibi88]

<div class="bbWrapper"><blockquote data-attributes="member: 10997" data-quote="MacAlzenau" data-source="post: 5056921" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056921" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056921">MacAlzenau schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Was ist KnockKnock? Kennt das jemand?<br /> Gibt es einen Grund, warum dieses KnockKnock einen standardmäßigen Druckerdämon kennen oder nicht kennen sollte? </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> <a href="https://github.com/synack/knockknock" target="_blank" class="link link--external" rel="nofollow ugc noopener">https://github.com/synack/knockknock</a><br /> <br /> Bild 1 ist ein Druckerdaemon?</div>

 

[giesbert]

<div class="bbWrapper"><blockquote data-attributes="member: 204060" data-quote="Chibi88" data-source="post: 5056927" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056927" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056927">Chibi88 schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Bild 1 ist ein Druckerdaemon? </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>cups = Common Unix Printer System.<br /> <br /> Bei seltsamen Einträgen in der Aktivitätsanzeige (oder wo auch immer) empfiehlt sich übrigens ein kurzer Abstecher zu Google - da erfährt man dann in der Regel, dass es sich um völlig normale Systemprozesse handelt.<br /> <br /> Und von einem Programm, das cups nicht erkennt: von dem würde ich mich möglichst schnell wieder verabschieden <img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" />.</div>

 

[dg2rbf]

<div class="bbWrapper">Hallo Gisbert,<br /> dieser Meinung bin ich auch, dieses Tool taugt nix, bitte deinstallieren..</div>

 

[Macbeatnik]

<div class="bbWrapper">Man sieht immer wieder, der Nutzer ist die malware<img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" /></div>

 

[echo.park]

<div class="bbWrapper">Man kann in der Aktivitätsanzeige auch mal schnell nachschauen ob der Prozess in einer Sandbox läuft. Trifft nicht immer zu, aber Malware würde nie in einer laufen, nicht mal zur Tarnung.<br /> <br /> <img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" /></div>

 

[Chibi88]

<div class="bbWrapper"><blockquote data-attributes="member: 141577" data-quote="echo.park" data-source="post: 5056975" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056975" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056975">echo.park schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Man kann in der Aktivitätsanzeige auch mal schnell nachschauen ob der Prozess in einer Sandbox läuft. Trifft nicht immer zu, aber Malware würde nie in einer laufen, nicht mal zur Tarnung.<br /> <br /> <img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" /> </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Wie kann ich das nachsehen?</div>

 

[echo.park]

<div class="bbWrapper">Die Aktivitätsanzeige öffnen und dann unter &quot;Ansicht &gt; Spalten&quot; die Sandbox-Spalte anzeigen lassen.</div>

 

[Marcel Bresink]

<div class="bbWrapper"><blockquote data-attributes="member: 10997" data-quote="MacAlzenau" data-source="post: 5056921" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056921" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056921">MacAlzenau schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Gibt es einen Grund, warum dieses KnockKnock einen standardmäßigen Druckerdämon kennen oder nicht kennen sollte? </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Ja, den gibt es. Es liegt daran, dass Apple cupsd so stark gesichert hat, dass ein normaler Benutzer nicht das Recht hat, die Echtheit des Programms zu prüfen.<br /> <br /> <blockquote data-attributes="member: 192813" data-quote="giesbert" data-source="post: 5056932" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056932" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056932">giesbert schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Und von einem Programm, das cups nicht erkennt: von dem würde ich mich möglichst schnell wieder verabschieden </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Das Programm zeigt nicht an, dass es CUPS nicht kennt, sondern dass der Status von cupsd unbekannt ist. Das ist absolut korrekt und seriös.<br /> <br /> <blockquote data-attributes="member: 192813" data-quote="giesbert" data-source="post: 5056932" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056932" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056932">giesbert schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Bei seltsamen Einträgen in der Aktivitätsanzeige (oder wo auch immer) empfiehlt sich übrigens ein kurzer Abstecher zu Google - da erfährt man dann in der Regel, dass es sich um völlig normale Systemprozesse handelt. </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Man kann einem Mac-Benutzer also jeden beliebigen Virus unterschieben, wenn man dem Programm den Namen eines Systemprozesses gibt oder indem man eine Fake-Seite im Internet anbietet?<br /> <br /> <blockquote data-attributes="member: 187" data-quote="Macbeatnik" data-source="post: 5056949" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056949" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056949">Macbeatnik schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Man sieht immer wieder, der Nutzer ist die malware </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Das ist absolut daneben. Die Beiträge in diesem Thread sind ziemlich peinlich für das Forum.<br /> <br /> <blockquote data-attributes="member: 141577" data-quote="echo.park" data-source="post: 5056975" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5056975" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5056975">echo.park schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> auch mal schnell nachschauen ob der Prozess in einer Sandbox läuft. Trifft nicht immer zu, aber Malware würde nie in einer laufen </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Aha. Warum nicht?</div>

 

[echo.park]

<div class="bbWrapper"><blockquote data-attributes="member: 1358" data-quote="Marcel Bresink" data-source="post: 5057052" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5057052" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5057052">Marcel Bresink schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Aha. Warum nicht? </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Ich spekuliere mal und sage das würde die Funktionalität einschränken. Abgesehen davon wäre es schlicht überflüssig, also warum sollte sich jemand die Mühe machen. <br /> <br /> Aber zu Punkt Eins: Ich sehe worauf du aus bist. <br /> <br /> <img src="/community/styles/apfeltalk/smilies/Wink.png" class="smilie" loading="lazy" alt=";)" title="Wink ;)" data-shortname=";)" /></div>