Die Locky- und Teslacrypt Bedrohung

[Shinzon2010]

Hallo an alle da draußen,

kann diese Bedrohung die eigentlich für Windowsrechner gedacht ist auch uns Mac-User erwischen, wenn ja wie?

In manchen Berichten was ich gelesen habe, (Heise und Co) wird teilweise empfohlen den PC dann wegzuschmeissen (Kopfschütteln)!
Da wäre mir ein iMac & Co dann doch zu teuer.

Was meint ihr darüber, ist die Gefahr real für uns Mac-Nutzer oder können wir beruhigt weiter schlafen?

[QWallyTy]

Moin,

zur Zeit ist das nur ein Problem für Win Rechner.

Macs, Linux, Unix Kisten haben momentan davor noch Ruhe.

Das muss aber nicht heissen dass sowas auf irgendeine Art nicht auch bei diesen Systemen möglich wäre es ist nur nicht so einfach / lukrativ wie für Windows und wird deshalb IMHO links liegen gelassen.

[saxophonmusikant]

Es wäre sogar ungeheuer lukrativ!
Millionen ungeschützter Macs da draußen, ist doch SUPER für Hacker!?
Aber es passiert einfach nicht!

Und das liegt eben NICHT an der Verbreitung, wie lange hält sich der Quatsch denn nun noch? (Sorry, QWallyTy! ;o)

Bleibt die richtige Feststellung: Es ist eben nicht so einfach!
UNIX sei dank, das immer schon eine saubere Sicherheits-Architektur hatte, weil immer schon als Mehrbenutzer-(Studenten-)System gedacht.

Hier kennt sich einer richtig aus:

http://www.macmark.de/osx_faqs.php

Übrigens hat sich m.E. der Betriebssystemhersteller um die Sicherheit seines Betriebssystems zu kümmern und NIEMAND SONST.
Das ist das größte Versagen von Microsoft überhaupt.
Gut, das Apple genau das macht: Es kümmert sich laufend um die Sicherheit des Systems.

[jankernet]

Macmark ist ein sehr guter Tipp!

Ich mache folgendes um mich sicher vor Viren und Trojanern zu schützen:

- zweiten User anlegen diesen Benutzen und Admin-Rechte entziehen
(dadurch wird bei Änderungen am System oder Installationen der Admin-Login+Passwort abgefragt)
- http://www.macmark.de/osx_terminal.php#examine
Punkt 8.8 über das Terminal frage ich regelmässig welche Kernel-Extensions und Agents laufen.
- Macmark empfiehlt Software von hier zur Analyse:

https://objective-see.com

Die lasse ich auch hin und wieder laufen um zu sehen ob sich irgendwas eingeschlichen hat.

[Jörn]

Ich glaube, das Anlegen eines "minder-privilegierten" User-Accounts ist eine Tradition unter Windows, die auf dem Mac weitgehend sinnlos ist. Es stimmt allerdings, dass dadurch öfter die Eingabe eines Passworts erzwungen wird (vor allem bei Installationen). Allerdings würde eine schädliche Software sich z.B. mit dem Namen einer bekannten App tarnen (etwa als Flash-Plugin oder als angebliche Anti-Viren-Software), sodass man dann eben doch sein Passwort eingibt.

Ein Admin-Account hat bei OS X keine generellen Systemrechte. Zwar ist die Installation von Programmen möglich, aber das ist seit einigen Jahren per GateKeeper abgesichert, und das Verändern von systemrelevanten Dateien erfordert auch beim Admin-Account die Eingabe eines Passworts (etwa bei Installation des Flash-Plugins). Admin bedeutet eben nicht "root".

Ich glaube, auf dem Mac besteht die größte Gefahr darin, dass man auf falsche Emails hereinfällt oder Software aus dubiosen Quellen installiert, wo man dann seelenruhig sein Passwort eingibt. Bei Emails, deren Herkunft einem nicht sicher erscheinen (etwa Emails der Bank), empfehle ich, nicht die dortigen Links anzuklicken, sondern stattdessen die Adresse manuell im Browser einzugeben und von dort weiter zu surfen.

[woreich]

Der Rat, den PC nach einem Befall zu entsorgen, ist sicherlich darin begründet, dass auf zumindest neueren Maschinen mit UEFI ein weiteres Betriebssystem läuft, das sich jeglicher Nutzerkontrolle entzieht. Gelingt es, einen Schädling dort zu platzieren, ist der Rechner wohl wirklich Schrott. Sicherlich gibt es auch versteckte Speicherbereiche in Festplatten und SSDs und Peripherie, die mit entspr. Aufwand "nutzbar" wären.

Letztlich kann man keinerlei Vertrauen mehr in aktuelle Computerhardware haben oder kennt jemand einen Hersteller, der die Sicherheit und Unabhängig einer Plattform garantiert?

Somit halte ich einen auf schlichte Erpressung ausgerichteten Schädling wie Locky o.ä. für relativ harmlos, sofern man eine Datensicherung offline liegen hat. Das kostet nur Zeit, Geld und Nerven. Die o.g. Angriffspunkte betreffen unsere gesamte digital Existenz und Leben. Diese Lücken werden von den Herstellern von Hardware und Betriebssystemen wohl gewollt.

Übrigens waren die mir bekannten Lockybefälle allesamt sehr erfolgreich. Kein Virenscanner hat sie aufgespürt. Unser Mailserver blockiert jegliche ausführbaren Anhänge und hat seit Locky und Konsorten rund 1000 solcher gefährlichen Anhänge in Quarantäne gestellt. Typischerweise greift nur die Dateiendung, praktisch nie ein Virenscanner und alle betreffenden Mails sind relativ einfach als Fake erkennbar - für Menschen.
Einen Mac hat es hier nicht getroffen. Auch kein Linux.

Lustigerweise werden in manchen (Windows-)Anwendungsbereichen von den Fachfirmen als erstes die Adminrechte aktiviert, die Benutzerkontensteuerung und die Firewall ausgeschaltet und Virenscanner sind stets der erste Tip, wenn etwas nicht funktioniert.

Ich wünschte mir, dass speziell diese Branche komplett mit Macs umsetzbar wäre, klappt leider wegen vieler uralten Gerätschaften, Schnittstellen und Langlebigkeit derselben nicht.

[OpDraht]

Und das liegt eben NICHT an der Verbreitung, wie lange hält sich der Quatsch denn nun noch? (Sorry, QWallyTy! ;o)

Bleibt die richtige Feststellung: Es ist eben nicht so einfach!
UNIX sei dank, das immer schon eine saubere Sicherheits-Architektur hatte, weil immer schon als Mehrbenutzer-(Studenten-)System gedacht.

Ich befürchte deine Aussage liegt dem Quatschbereich näher, denn so schwer ist es nun auch nicht mit der entsprechenden Strategie:

http://www.macrumors.com/2016/03/06/mac-ransomware-transmission/

[saxophonmusikant]

Warum?
- Alle Mechanismen haben doch gegriffen. OS X ist ja doch ein "freies" System insofern, als ein User sich alles installieren kann, was er möchte, dazu gehört auch Schadsoftware. Daher gilt für meinen Bekanntenkreis: Nur Software installieren, die man im App Store oder über Heise.de/Download findet. Und z.B. KEINESFALLS über softonic o.ä. üble Portale.
- In diesem Fall haben soweit ich sehe genau die Richtigen reagiert: Der Hersteller und Apple.

[Aloxus]

Ich denke auch, dass es zwar beunruhigend ist, in letzer Zeit mehr über Malware auf dem Mac zu hören, aber ich denke man muss sich als aufmerksamer User keine großen Sorgen machen.

Nach wie vor muss man die Malware selbst installieren und mit dem Passwort bestätigen.
Da scheinbar immer mehr Software aus bestimmten Quellen Malware enthält, sollte man nicht allein auf Gatekeeper vertrauen, sondern aktiv nur aus Quellen installieren, denen man vertraut.
Bei mir sind das der Mac AppStore und der direkte Download von Entwicklerseiten, die mir seriös vorkommen. Ich informiere mich vorher über den Entwickler und installiere grundsätzlich nichts von unseriösen Quellen wie Webseiten mit Softwaresammelsurien.

100% sicher ist man damit nicht. Aber sollte mal wirklich ein Server eines Entwicklers kompromittiert sein, wird das recht schnell erkannt und Apple, der Entwickler und man selbst können Gegenmaßnamen ergreifen, wie z.B. der Einspielen eines TM Backups vor dem Zeitpunkt einer möglichen Infektion. Und Apple reagiert in der Regel sehr schnell, und passt den Malwareschutz des Systems an bzw. sperrt die Signierung der Software.

[QWallyTy]

Moin

Nu hat es uns auch erwischt wenn auch vorerst nur bei einem Tool

http://www.heise.de/mac-and-i/meldung/KeRanger-Erste-Ransomware-Kampagne-bedroht-Mac-OS-X-3129346.html

[QWallyTy]

Huch die Meldung stand ihr schon im Link über Mann

Was ich da besorgniserregend finde das hier auch Gatekeeper und Co versagt hätten da die Software ja signiert war

[Jörn]

Ja, aber Gatekeeper und Co waren bereits wenige Stunden, nachdem der Fall entdeckt wurde, aktiv. Das Zertifikat wurde entzogen und die Blacklist in OS X war aktualisiert. Weitere Installationen wurden dadurch unmöglich. Das hat gut funktioniert.

Zertifikate können nicht verhindern, dass jemand gegen die Regeln verstößt. Aber sie können verhindern, dass der Schaden weite Kreise zieht. Sobald der Verstoß auffliegt, ist es auch schon vorbei.

Ich finde, dies ist ein gutes Beispiel dafür, dass der Mac sicher ist, ohne einen Virenscanner benutzen zu müssen.

[OpDraht]

Zumal ein Virenscanner wohl auch nicht schneller als XProtect aktualisiert wird.

Trotzdem ist man durch die Unix-Herkunft heute nicht mehr sicherer als bei einem modernen Windwows (JEHOVA!), wenn die Strategie der Malware-Schreiber durchdacht ist. Bei einem modernen OS tut sich da nicht viel, das kann sich kein Hersteller erlauben. Und ein Malware-Verfasser erreicht bei gleichem Aufwand bei einer größeren Nutzerschaft einfach mehr.

Bislang hat sich wohl niemand Gedanken zu einem Download aus der Quelle des Uhrhebers gemacht, da gibt man bei der Installation sein Passwort ein. Und beim nächsten Mal ist es eine andere Strategie.

[QWallyTy]

Stimmt Jörn nur ein blödes Gefühl hinterlässt es trotzdem

Ich werde jetzt zwar keinen Virenscanner installieren (hilft ja bei Windows auch nur bedingt) habe jetzt aber kein gutes Gefühl nicht MAS Apps zu nutzen Halt nur blöd Das es viel Kram im App Store nicht gibt und auch dieser einem das Leben schwer machen kann - abgelaufene Zertifikate

Wie man sich außer mit dezentralen nicht mit dem Mac verbundenen Backups schützen kann ist mir aber auch schleierhaft

[woreich]

Zum Timing der Virenscanner:

gestern hatten wir etwa 100 Lockys in der Quarantäne unseres Mailservers. Nach etwa 2 Stunden fanden lediglich 3 der Virustotal-Scanner etwas. Immerhin. Da liegt Apple vergleichbar im Rennen.