|
Habe ich einen Trojaner und kann dieser an meinen Schlüsselbund ran? Hallo Leute, vor kurzen habe ich eine Email von meinem GMX-Account erhalten, die mich darauf hinwies, dass ich versucht hätte, Emails über IMAP abzurufen und dies erst im Account freigeschaltet werden müsse. Von diesem Account lasse ich allerdings Emails lediglich forwarden. Eingeloggt habe ich mich seit einem Jahr weder über Browser noch über Geräte. Demnach habe ich das PW auch seit langem nicht getippt und ein Keylogger fällt aus als Erklärung. Das Passwort ist nur im Schlüsselbund meines Mac gespeichert. Muss ich davon ausgehen einen Trojaner zu haben und kann dieser auf meinen Schlüsselbund zugreifen? Danke und LG Laura |
Hallo Laura, Bestimmte Anbieter verfügen nur über einen begrenzten Zeitraum zum Abrufen von Mails anderer Anbieter. Ich würde mal bei deinem aktuellen E-Mail Anbieter prüfen ob deine GMX-Mails noch korrekt "abgeholt" werden. Prüfen kannst du natürlich auch über deinen GMX-Account ob dort was eingestellt ist. So weit ich weiss, bietet GMX bei der Free-Version keine IMAP Unterstützung. Obwohl das bei manchen funktioniert, kann es durchaus zur Problemen führen. Dein Schlüsselbund hat mit dem Abrufen direkt bei deinem E-Mail Anbieter nichts zu tun und wird nur für Lokale Programme verwendet bzw. über iCloud. |
Zitat:
GMX bietet IMAP auch bei kostenlosen Konten vgl https://hilfe.gmx.net/pop-imap/einschalten.html |
Sehe ich wie Cosinus:abklatsch: Entweder ist das Konto gehackt oder, was ich eher glaube, in der Mail ist Schadsoftware verpackt. Sollte einem Nicht-Windows-System aber nicht schaden. |
Felix, wenn jmd versucht sich ins Konto zu hacken ist das völlig egal ob der Inhaber des Kontos Windows, Linux oder OS X benutzt...es wird versucht ins Postfach einzubrechen, nicht in den Rechner, desjenigen, dem das Postfach gehört. Aber durch die Panik entstehen schnell falsche Schlussfolgerungen und es werden Trojaner herbeigeredet... |
Zitat:
IMAP = Premium? |
Zitat:
Die eventuell in der Mail vorhandene Schadsoftware kann dem Rechner keinen Schaden zufügen:headbang: |
Ich glaub das muss ich mal selber testen. Aus historischen Gründen verwende ich für alles nur (verschlüsseltes) POP3. Ist hier eh offtopic, weil es für den TO irrelevant ist wenn der Hacker schon eingebrochen ist. |
Zitat:
Der TO sprach von einer Mail, die von GMX kam, nicht von einem Einbrecher. |
Zitat:
|
Das hat eigentlich nix mit dem Thema zu tun und dient ja nur, um deinen theoretischen Nebenkriegsschauplatz zu verifizieren oder so :D Aber gerne, der TO kann ja mal die Kopfzeilen dieser angeblichen Mail von GMX hier posten, wenns dir dann besser geht ;) |
@Cosinus Zitat:
Warum sollte GMX dem TO eine Nachricht schicken? Wenn das PF richtig eingerichtet ist, sollte es auch nicht überlaufen. Dass Konten in Größenordnung gehackt wurden, kannst Du hier in den Nachrichten nachlesen. Nicht jeder ISP gibt das zu, solange er nicht erwischt/angeprangert wurde. |
Warum GMX dem TO ne Nachricht schickt wurde doch hier erläutert. Da hat angeblich jmd versucht per IMAP auf das Konto zuzugreifen und das ist deaktiviert. Soweit stimmt die Sache doch. Wie der Angreifer an das Passwort gekommen soll, wenn es denn tatsädhlich dazu gekommen sein sollte, muss auch nicht an einer geklauten DB oder so liegen. Oder eher indirekt. Vllt wurde ja eine andere DB geklaut und der TO hatte dasselbe Passwort. Oder die Passworterinnerungsfunktion wurde missbraucht... |
Hallo Leute, vielen Dank für die zahlreichen Antworten. Ich lasse die Mails nicht abholen, sondern habe lediglich eine Regel in dem Postfach eingerichtet, die alle eingehenden Mails an eine andere Email-Adresse weiterleitet. Ein Ablaufen der Postfachabholung fällt also aus. Auch ein übervolles Postfach fällt aus als Erklärung. Die Möglichkeit, dass die Email gar nicht von GMX kam, habe ich allerdings nicht bedacht. Unten ist die Mail und darunter der Mail-Header. In dem Fall sollte ich auf einen Link klicken und mich über eine fake-Seite einloggen, die erst mein Passwort erfragt? Ich hab den Account mal zum Test über die GMX iPad-App abgeholt, die ja eines der Protokolle nutzen sollte. Da kam keine Beschwerde vom Account. Das deutet ja darauf hin, dass es Verarschung war. Allerdings kam nach Ändern des Passworts von der gleichen Email Adresse die Meldung, dass das PW geändert wurde. Und das sollte ja 100% legit sein. Zum Vergleich habe ich den Header dieser Mail auch unten eingefügt. Könnt Ihr am Header der Mail erkennen, welcher echt und welcher falsch ist? Absender ist mailings@sicher.gmx.net Code: Fehlgeschlagener Zugriff per Mail-ProgrammCode: Erweiterte E-Mail-InformationenCode: Erweiterte E-Mail-Informationen |
Wo ist das Log mit den Headern der Mail mit dem Fakelink? Über welche Mailserver die Mail gegangen sind sieht man an den Zeilen die mit received anfangen. 1. Log Zitat:
Und im 2. Log ein sehr ähnliches Bild: Zitat:
212.227.15.9 - IP-Adresse - utrace - IP-Adressen und Domainnamen lokalisieren 212.227.17.29 - IP-Adresse - utrace - IP-Adressen und Domainnamen lokalisieren Die zweite recieved Zeile zeigt, dass ein interner Host im Spiel war. Intern weil die IP-Adressen wie 172.19.126.78 und 172.20.145.183 im privaten Bereich sind und nicht im Internet geroutet werden. Ich schlussfolgere daraus: Die Mails sind nur aus GMX-Servern gekommen und kein Spam. |
Shit. Dann waren die legitim und es hat wirklich jemand versucht über POP3 oder IMAP Emails von meinem Account abzuholen. Dass kann ja dann nur heißen, dass jemand an meinen Schlüsselbund rangekommen ist. Aber warum kann ich über die GMX App Emails abholen, ohne dass dieser Alarm ausgelöst wird? |
Zitat:
|
Mmh, ich habe das gleiche PW aber nirgendwo sonst eingesetzt. Und die Erinnerungsfunktion müsste mich über eine andere Email-Adresse oder Telefonnummer erreichen. Außerdem wurde das Passwort nicht geändert. Üblicherweise bekommt man lediglich die Gelegenheit ein neues Passwort zu vergeben und das hätte ich ja gemerkt. Außerdem ist mir bei einem anderen Email-Account vor zwei Wochen auch eine Auffälligkeit begegnet, wie mir soeben einfällt. Ich habe zweimal in Folge bemerkt, wie neu angekommene Emails schon als "gelesen" markiert waren, ohne, dass ich sie selbst geöffnet hätte. Die geöffneten waren jedoch nur Spammails. Damals dachte ich, dass es vielleicht ein Bug ist, der mit irgendwelchen Sonderzeichen dem Titel der Mail zusammenhängt. Aber mir ist gerade noch eine andere Erklärung eingefallen. Eventuell hat der Angreifer auch diesen Account mit einem Email-Programm abgeholt, welches jedoch die Spammails, im Gegensatz zu meinem direkt in den Spamordner verschoben und als gelesen markiert hat. Der Angreifer hat dann meine Mails gelesen, sie hinterher wieder als ungelesen markiert, dabei jedoch die automatisch verschobenen übersehen. Deshalb waren diese bei mir noch als gelesen markiert. Ich hab mal einen Screenshot von LittleSnitch hier hochgeladen: http://www.trojaner-board.de/183597-...-gefunden.html Könntest Du mal reinschauen, ob da ein verdächtiger Prozess dabei ist? Wenn ich einen Trojaner habe, dann müsste der ja immer am Start sein und lauschen oder? Wie sieht es aus, wenn es ein Keylogger ist. Gehen die nur periodisch online um txt-files abzuschicken? |
Wir hatten schon zig Male Ärger mit GMX/1&1 und keiner konte sich genau erklären was los war. => http://www.trojaner-board.de/172428-...nden-spam.html Mac OS X untersuchen kann hier nur dante12. Ich kenn OS X nicht. Dafür aber Linux (Debian/Ubuntu) und Windows. |
Mmh ok. Danke. Spam wird allerdings ja keiner versendet. Alles ist sehr unauffällig. Nur diese eine Email, mit dem Hinweis, ich hätte über IMAP Emails abgeholt war auffällig. Ich frag auch mal Dante12. Was hältst Du von meiner Beobachtung in meinem anderen Email-Account? (Nicht GMX) |
@LauraCroft Es kann natürlich etwas mit dem Sender Privacy Framework (SPF) was gmx, web.de usf. in diesem Jahr einführten zu tun haben. Dieses Protokoll ist sehr fehleranfällig und es gibt zahlreiche Probleme mit anderen Providern beim Weiterleitungen oder Abholen. Auf keinen Fall haben solche Meldungen über Mails Zugriff auf deinen Schlüsselbund. Für diese Art von Zugriff musst du aktiv ein Programm installieren und sogar das Admin-Passwort eingeben. Wenn du so etwas nicht getan hast besteht überhaupt keine Gefahr. Nachfolgend eine Anleitung um zu prüfen ob an deinem Rechner etwas sein könnte: EtreCheck installieren
 Lesestoff: Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR oder 7Z-Archiv zu packen erschwert mir massiv die Arbeit. Auch wenn die Logs für einen Beitrag zu groß sein sollten, bitte ich dich die Logs direkt und notfalls über mehrere Beiträge verteilt zu posten. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
Code: EtreCheck version: 3.1.5 (343) |
Uhmp Zitat:
dann... MalwareBytes for Mac
|
Ok mach ich. Kaspersky und Norton sind eigentlich schon deinstalliert. Woran liegt es, dass da noch deren Reste rumliegen? Warum müssen die denn erst deinstalliert werden Malwarebytes scheint auch so zu laufen. Dein Einleitung "Uhmp" klingt nach Optimierungspotiential. :-) Elaboriere bitte. Ich schmeiß derweil die AVG und LS runter. Code: Malwarebytes Anti-Malware 1.2.5.715 system report - 23. Dezember 2016 um 16:10:45 MEZ |
Zitat:
Zitat:
Zitat:
Schritt 1 und weiter, prüfe bitte ob folgende Einträge noch in deinem System sind.
Pfad: Code: ~/Library/LaunchAgentsSchritt 2 Nachfolgen führe bitte die Schritte aus dem Lesestoff aus Sicherer Systemstart
Sierra: Für gewöhnlich steht oben rechts in roter Schrift der Hinweis für den sicheren Systemstart. Bei Sierra kann es vorkommen das dieser Hinweis nicht angezeigt wird. Log dich deshalb bitte ein und prüfe das in dem du folgende Schritte ausführst.
Schritt 3 Prüfen mit DetectX
|
Code: DetectX Inspector:Aktivitätsanzeige sagt mir eigentlich immer nur um die 5,56GB belegt von 16GB... |
Alles sauber der immense Speicherverbrauch liegt daran du du Wine verwendest und Daten zwischengespeichert werden. Du solltest dennoch überlegen die eine oder andere Anwendung zu löschen.... DetectX entfernen
Code: /Applications/DetectX.appCode: ~/Library/Application Support/com.sqwarq.DetectXCode: ~/Library/Caches/com.sqwarq.DetectXCode: ~/Library/Preferences/com.sqwarq.DetectX.plistMalwarebytes deinstallieren
Code: ~/Library/Preferences/com.malwarebytes.antimalware.plistStarte anschliessend den Rechner neu Wenn du weitere Hilfe bei De-Installationen benötigst oder weitere Fragen hast bitte melden. |
Cool, danke Dante!!! Warum soll ich DetectX und Malwarebytes wieder löschen. Kann man doch immer mal wieder brauchen? Winebottler hatte ich nur kurz installiert aber wieder gelöscht, weil es nicht funktioniert. Welche Daten von Wine sind denn noch im Speicher. Wie werd ich die Leichenteile wieder los? Ist auch kein Prozess am laufen der Wine oder Bottler im Namen hat. Das kanns also nicht sein. Was frisst denn den ganzen Speicher? Ich hab wie gesagt nur 5,5GB belegt. |
Die De-Installation stelle ich meistens rein für den Fall das du diese entfernen möchtest. Du musst es aber nicht. DetectX ist kostenpflichtig... Zu wein ich hab nur gesehen das yourapp in den Einstellungen ist. Wenn du Wine entfernt hast ist das ok da brauchst du nichts weiter machen, den Rest macht das System selbst. In der Standardeinstellung macht das System ein Selbstreinigung. Wenn du App-Nap verwendest brauchst du gar nichts machen da im Schlafmodus diese Prozesse automatisch gestartet werden. |
Ok, alles klar. Macht er das auch, wenn der ganze Mac im Schlafmodus ist? Was ist aber dann die Erklärung für die hohe Speicherauslastung? |
Ich habe die Zeiten jetzt rausgenommen weil ich ehrlich gesagt noch nicht die Zeit hatte zu überprüfen ob es bei Sierra auch so ist. Die hohe Speicherlast ist durch die gestarteten Hintergrundprozesse geschuldet. AVG, Little Snitch, Anwendungen wie Adobe und Java und viele andere laufen im Hintergrund. Wenn du jetzt mit Programmen arbeitetest benötigen die natürlich auch Speicher das summiert sich. Ist der Ram-Speicher dann knapp und es wird noch Speicher benötigt werden die Daten auf die Festplatte ausgelagert. Das bedeutet zusätzlich Schreibe-Zugriffe. Die Festplattenbelastung steigt und Programme müssen länger auf Antworten warten - als Ergebnis wird das ganze System langsamer. Zitat:
|
Zitat:
|
Zitat:
|
Zitat:
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 13:08 Uhr. |
Copyright ©2000-2024, Trojaner-Board