Malware infesta il Mac e non viene rilevato da nulla!

[davidebrit]

Salve,
sto letteralmente impazzendo a causa di un malware maledetto che ha infettato il mio mac book air, in particolare con Chrome, che è il browser che uso di più, ma anche con Safari e Firefox. sul quale uso per navigare soprattutto Chrome. Credo si chiami wonderlandads.com, tramite un REDIRECT mi rimanda a pagine pubblicitarie ogni volta che clicco su di un hyperlink. In pratica, è come se su i link ci fosse un link fake sopra quello originale, e quando ci clicco sopra mi apre mille finestre. Nelle estensioni sui vari browser non appare nulla, ho usato Malware Bytes, Bitdefender, Avast, praticamente tutto per individuare qualcosa di strano e cancellarlo ma anche qui non appare nulla di anormale. Aggiungo che ho lo stesso problema con i link di Facebook che dal mio telefono (un Huawei) rimandano fuori dal social.. Non so più cosa fare, non vorrei addirittura formattare il Mac per questa scemenza, ma non so davvero che altro inventarmi,
Qualcuno saprebbe darmi una mano? Grazie in anticipo! Davide

[Simone.m]

Posta un log di Etrecheck!

[faxus]

Benvenuto

Se vuoi presentarti alla comunità puoi farlo da
viewforum.php?f=30" onclick="window.open(this.href);return false;
Saremo in tanti a salutarti.


Per fare quello che ti ha chiesto Simone.m:
http://www.etresoft.com/etrecheck" onclick="window.open(this.href);return false;
Come fare ad eseguirlo e postarlo:
https://www.imaccanici.org/article.php/EtreCheck" onclick="window.open(this.href);return false;

... Bitdefender, Avast...

Quello che hai non è un virus né malware, su i sistemi Mac non ci sono.
Hai solo un adware.

Quelli che hai montato sono peggio di un virus, sono delle truffe.
Appesantiscono, possono bloccare il funzionamento del Mac e sono pericolosi.

Eliminali al più presto

[davidebrit]

Le ho già eliminate, ma le avevo installate dopo aver già beccato questa cosa. Avevo anche già fatto ETRECHECK, ditemi se ora il log indica qualcosa di diverso:

EtreCheck version: 3.0.3 (307)
Report generated 2016-09-18 17:12:32
Download EtreCheck from https://etrecheck.com" onclick="window.open(this.href);return false;
Runtime 2:14
Performance: Excellent

Click the [Support] links for help with non-Apple products.
Click the [Details] links for more information about that line.

Problem: Other problem

Hardware Information: ⓘ
MacBook Air (13-inch, Early 2015)
[Technical Specifications] - [User Guide] - [Warranty & Service]
MacBook Air - model: MacBookAir7,2
1 1,6 GHz Intel Core i5 CPU: 2-core
4 GB RAM Not upgradeable
BANK 0/DIMM0
2 GB DDR3 1600 MHz ok
BANK 1/DIMM0
2 GB DDR3 1600 MHz ok
Bluetooth: Good - Handoff/Airdrop2 supported
Wireless: en0: 802.11 a/b/g/n/ac
Battery: Health = Normal - Cycle count = 145

Video Information: ⓘ
Intel HD Graphics 6000
Color LCD 1440 x 900

System Software: ⓘ
OS X El Capitan 10.11.6 (15G1004) - Time since boot: about one day

Disk Information: ⓘ
APPLE SSD SM0256G disk0 : (251 GB) (Solid State - TRIM: Yes)
EFI (disk0s1) <not mounted> : 210 MB
Recovery HD (disk0s3) <not mounted> [Recovery]: 650 MB
Macintosh HD (disk1) / : 249.78 GB (59.90 GB free)
Encrypted AES-XTS Unlocked
Core Storage: disk0s2 250.14 GB Online

USB Information: ⓘ
Apple Inc. BRCM20702 Hub
Apple Inc. Bluetooth USB Host Controller

Thunderbolt Information: ⓘ
Apple Inc. thunderbolt_bus

Gatekeeper: ⓘ
Mac App Store and identified developers

Unknown Files: ⓘ
/Library/LaunchDaemons/com.reimage.cleaner.plist

One unknown file found. [Check files]

Kernel Extensions: ⓘ
/Library/Application Support/Avast/components/fileshield/unsigned
[loaded] com.avast.AvastFileShield (3.0.0 - SDK 10.9 - 2016-08-18) [Support]

/Library/Application Support/Avast/components/proxy/unsigned
[loaded] com.avast.PacketForwarder (2.1 - SDK 10.11 - 2016-08-18) [Support]

System Launch Agents: ⓘ
[not loaded] 7 Apple tasks
[loaded] 151 Apple tasks
[running] 67 Apple tasks
[killed] 13 Apple tasks
13 processes killed due to insufficient RAM

System Launch Daemons: ⓘ
[not loaded] 45 Apple tasks
[loaded] 155 Apple tasks
[running] 79 Apple tasks
[killed] 11 Apple tasks
11 processes killed due to insufficient RAM

Launch Agents: ⓘ
[running] com.avast.secureline.update-agent.plist (2016-09-13) [Support]
[loaded] com.avast.secureline.userinit.plist (2016-09-13) [Support]
[running] com.avast.update-agent.plist (2016-09-13) [Support]
[loaded] com.avast.userinit.plist (2016-09-13) [Support]

Launch Daemons: ⓘ
[loaded] com.avast.init.plist (2016-09-13) [Support]
[loaded] com.avast.secureline.init.plist (2016-09-13) [Support]
[loaded] com.avast.secureline.uninstall.plist (2016-09-13) [Support]
[loaded] com.avast.secureline.update.plist (2016-09-13) [Support]
[loaded] com.avast.uninstall.plist (2016-09-13) [Support]
[loaded] com.avast.update.plist (2016-09-13) [Support]
[loaded] com.malwarebytes.HelperTool.plist (2016-09-08) [Support]
[not loaded] com.reimage.cleaner.plist (2015-12-13) [Support]
[loaded] uk.co.canimaansoftware.ClamXavHelper.plist (2016-09-06) [Support]
[loaded] uk.co.canimaansoftware.ClamXavHelperUpdater.plist (2016-09-06) [Support]

User Launch Agents: ⓘ
[loaded] com.avast.home.userinit.plist (2016-09-13) [Support]
[loaded] com.avast.secureline.home.userinit.plist (2016-09-13) [Support]
[loaded] com.bittorrent.BitTorrent.plist (2016-03-22)
[loaded] com.google.keystone.agent.plist (2016-07-11) [Support]
[running] com.spotify.webhelper.plist (2016-09-17) [Support]

User Login Items: ⓘ
iTunesHelper Applicazione (/Applications/iTunes.app/Contents/MacOS/iTunesHelper.app)
Spotify Applicazione Hidden (/Applications/Spotify.app)
Android File Transfer Agent Applicazione (~/Library/Application Support/Google/Android File Transfer/Android File Transfer Agent.app)

Internet Plug-ins: ⓘ
Default Browser: 601 - SDK 10.11 (2016-08-21)
QuickTime Plugin: 7.7.3 (2016-08-21)
Silverlight: 5.1.10411.0 - SDK 10.6 (2016-03-23) [Support]

Safari Extensions: ⓘ
ClickToPlugin - Marc Hoyois - http://hoyois.github.com/safariextensio ... ktoplugin/" onclick="window.open(this.href);return false; (2016-04-01)

3rd Party Preference Panes: ⓘ
None

Time Machine: ⓘ
Auto backup: YES
Volumes being backed up:
Macintosh HD: Disk size: 249.78 GB Disk used: 189.88 GB
Destinations:
SAMSUNG [Local]
Total size: 999.86 GB
Total number of backups: 14
Oldest backup: 16/03/16, 00:33
Last backup: 16/09/16, 20:52
Size of backup disk: Excellent
Backup size 999.86 GB > (Disk size 249.78 GB X 3)

Top Processes by CPU: ⓘ
31% Google Chrome Helper(7)
14% Google Chrome
8% WindowServer
5% kernel_task
2% com.avast.daemon

Top Processes by Memory: ⓘ
942 MB Google Chrome Helper(8)
601 MB kernel_task
233 MB mdworker(21)
152 MB Google Chrome
139 MB com.avast.daemon

Virtual Memory Information: ⓘ
188 MB Free RAM
3.81 GB Used RAM (821 MB Cached)
200 MB Swap Used

Diagnostics Information: ⓘ
Sep 17, 2016, 05:03:04 PM Self test - passed

[tighine]

A naso, direi di eliminare Reimage Cleaner, Avast ed ogni porcheria del genere. Lascia perdere ADW Cleaner o MalwareBytes (sono buoni, ma non per tutto, soprattutto su Mac e nel caso di Wonderlandads.com).

Innanzitutto io ripristinerei tutti i browsers (elimina cronologie, cache, temporanei, id e pw memorizzate, setta di partire con pagina vuota, disabilita estensioni e componenti aggiuntivi), riportandoli al default factory, oppure - al limite - disistallandoli e re-installandoli.

Lavora solo in locale, senza alcuna connessione (né ethernet né wi-fi né altro).

A parte chiudi/esci/svuota ogni googlederivato (magari da una macchina non compromessa), e resetta i tuoi accessi icloud (al limite, eliminali e ricreali). Per il telefono, se non basta il factory reset del browser (termina applicazione, svuota cache, pagine salvate e cronologia, cancella dati dal menù impostazioni, disattivalo, riavvia, riattivalo), allora forse é meglio ripristinare l'intero device (salva a parte rubrica e files che vuoi conservare, ma non quelli provenienti dal web).

Per disinstallare applicazioni dal Mac, puoi usare AppCleaner (http://freemacsoft.net/appcleaner/" onclick="window.open(this.href);return false;) e poi devi cercare se ci sono "caccole" residue in giro nel computer, mediante - ad es. - "EasyFind" di Devon Tecnologies (http://www.devontechnologies.com/products/freeware.html" onclick="window.open(this.href);return false;), impostato "al massimo" (tutti files e cartelle, tutte le estensioni, anche files invisbili, cerca in tutti i volumi, etc...).

Cerca ed elimina sia files contenenti il nome del programma da eliminare, che la denominazione dell'autore e/o del sito web.

La medesima procedura può esser utilizzata in caso di ulteriori apps nocive/pesanti/inutilizzate, nonchè eventuali ulteriori script che ti dirottano su questa o quella pagina: prendi nota di dove atterri, e cerca nel pc con il termine più significativo.


Al termine dei compiti a casa, posta un nuovo report di etrecheck e facci sapere come va.



---------------
https://support.apple.com/it-it/HT203987" onclick="window.open(this.href);return false;

[Kundalini]

Un antivirus come Avast è assolutamente deleterio su di un Mac.
Posso capire che di fronte ai problemi che ti si sono manifestati tu abbia provato in tutti i modi a risolvere, non da ultimo installando un antivirus.
Ma non è la soluzione risolutiva.
Comincia con il disinstallare accuratamente Avast; non sarà semplice ma ti aiuteremo. Avast è uno dei più rognosi da togliere e crea molti conflitti col sistema operativo Apple.
Detto questo una delle prime cose che balza all'occhio è che la RAM lavora male; tra Launch Daemon e Launch Agents ha bloccato 24 processi, ed hai ben 200 MB di memoria usata in swap sull'SSD. Sono tanti.
E' opinione di molti che El Capitan richieda almeno 8 GB di RAM ed un SSD per girare bene. Il secondo ce l'hai, ma la RAM è ferma a 4 GB. Purtroppo non la puoi aumentare sul tuo Air.
Resta il fatto che un computer del 2015 venduto da Apple dovrebbe poter funzionare bene con la dotazione di RAM di fabbrica, e con il SO installato all'origine. Altrimenti non dovrebbero venderlo. Io resto convinto che El Capitan, con un SSD, possa funzionare bene anche con soli 4 GB di RAM, come nel tuo caso.
Solo che non bisogna pretendere di farci girare chissà quali programmi, e quelli che che sono installati devono essere curati a puntino. Per un uso abbastanza semplice del Mac funzionerà tutto.

Per la pulizia:

reimage.cleaner non è un software per smartphone Android? Non ti serve sul Mac, disinstallalo.

Elimina dai Login Items (Preferenze di sistema > Utenti e gruppi > pannello Elementi Login) Spotify e Android File Transfer. Li elimini evidenziandoli e cliccando sul pulsante "-", non basta che tu li nasconda all'avvio.
Su iTunesHelper non mi pronuncio, io eliminerei anche quello all'avvio.

ClamXav è forse l'unico software antivirus che possa lavorare decentemente su OS X, ma occorre usarlo con oculatezza in modalità
passiva, non permettendogli di scansione di tutto e di più. Prova a settario meglio, se non puoi farne a meno.

Per il resto prova a far pulizia ed eventualmente a riportare un altro EtreCheck e si vedrà come va.

Edit: vedo che ti ha già risposto tighine, segui anche i suoi consigli, forse avrà qualcosa da obiettare alle mie idee su ClamXav , visto che se non ricordo male lo ha usato con soddisfazione. Ma possiamo tranquillamente discuterne.

Edit 2: anche questo AES-XTS che cripta il disco, ne hai bisogno? Probabilmente è una delle concause di rallentamento del tutto.

[tighine]

Ed invece concordo al 100% su ClamXav: la scansione in tempo reale (ClamXav Sentry) l'ho attivata solo prima di attaccare al mac (es.: pennette) qualcosa di esterno, e poi, una volta scansionato quel che volevo scansionare, l'ho sempre spenta.

Sono mesi che non tocco più quell'applicazione, tra l'altro. Anzi, forse alla prossima pulizia la butto, tanto conservo sempre l'installer "free".

Ottimi consigli sull'avvio al login, non avevo badato (grave, gravissimo!). Anche Itunes, perché all'avvio?

Reimage Cleaner putroppo é in tutte le forme: http://www.reimageplus.com/mac/" onclick="window.open(this.href);return false;

Circa AES-XTS, hai fatto bene a pensarci tu, io non lo conosco (e non m'andava di cercarlo... )

[Kundalini]

Reimage Cleaner putroppo é in tutte le forme: http://www.reimageplus.com/mac/" onclick="window.open(this.href);return false;

Ah, ecco. Sembrerebbe la solita fuffa pulitoria. A me non andava di cercarlo nella forma per Mac .

[faxus]

Sì, oltre alle porcherie dette di Avast e Reimage, anche ClamX, una cacchetta di mosca rispetto agli altri, ma egualmente inutile.
Residuo culturale di qualche malinteso macuser che consigliava di montarlo perché abbastanza innocuo.

Tanto son tutti uguali, software truffa, truffaware li chiamo io.
Se va bene non fanno niente.
Ma spesso non si è così fortunati e fanno danni sul serio.

Fatto quello consigliato da Tighine scomoda Terminale per un controllo di estrema sicurezza.
Anche se non vedo nulla di specifico

Codice: Seleziona tutto

dscl /Local/Default -list /Users UniqueID | awk '$2 >= 100 && $2 < 500 { print $1; }'

Codice: Seleziona tutto

dscl . -list /Users UniqueID | grep 401

Posta le risposte a queste due interrogazioni, qui, come testo, in nessun altro modo per favore

[tighine]

ClamX.... Residuo culturale di qualche malinteso macuser che consigliava di montarlo perché abbastanza innocuo

Premesso che (ovviamente) OS X non necessita affatto di alcun "antivirus" di sorta, ClamXav può (può, non deve) esser installato "alla bisogna", se si vogliono verificare files o unità "esterne", provenienti da contesti o macchine potenzialmente sporchi. Ma la sua pulizia non é il massimo, é un po' all'acqua di rose, ecco. Però qualcosa fa.

Con l'evoluzione del malware é divenuto pressocché sorpassato, ma se lo si usa come suindicato non disturba, male non fa ed al massimo occupa un po' di spazio. L'importante é non lasciare inserita la funzione "Sentry", cioé la scansione in tempo reale.

Codice: Seleziona tutto

dscl /Local/Default -list /Users UniqueID | awk '$2 >= 100 && $2 < 500 { print $1; }'

Codice: Seleziona tutto

dscl . -list /Users UniqueID | grep 401

Urca! Traduzione?

[cicciopasticcio]

Innanzitutto io ripristinerei tutti i browsers (elimina cronologie, cache, temporanei, id e pw memorizzate, setta di partire con pagina vuota, disabilita estensioni e componenti aggiuntivi)

Bona indicazione.

Secondo me, la prima prova da fare, easy e magari funziona, è quella di eliminare la cronologia di Safari. Lo scrivo perchè ha già risolto un caso identico.

E.. no, questo non è OS X Pirrit! Non serve andare a cercare utenti con UUID = 401.


P.S.: @davidebrit, una curiosità: quello strano "Reimage" te lo sei installato tu perchè hai letto una pagina di internet che lo consigliava per rimuovere wonderlandads.com? Come pure ti sei installato

ho usato Malware Bytes, Bitdefender, Avast, praticamente tutto per individuare qualcosa di strano e cancellarlo

?

[faxus]

Vedo che nonostante sia stato chiarito numerose volte, Ciccio, continui.
Dev'essere proprio difficile da capire.

Hai risolto un caso, bene (non so, stai dicendo che Tighine ha fatto bene oppure no?)
Non è Pirrit, bene.
Tutto quello che hai appreso su Pirrit lo hai letto qui sul Forum in seguito ad interventi di altri.
Stai dicendo che la mia richiesta è inutile?

Grazie dell'indispensabile intervento a disturbare e fare confusione, come al solito.
Se vuoi che commenti più articolatamente, chiedi, sarà fatto

[faxus]

... Traduzione?

È la richiesta di elencare utenti con identificatore da 100 a 500.
E quelli con Users UniqueID 401.

Come sai gli utenti in chiaro a vista nella interfaccia utente sono da 501 in su.
Gli altri sono utenti di sistema o creati artificialmente e poi nascosti.
Siccome vengono creati da 401 a 500, se non viene fatto espressamente a mano vengono tutti contrassegnati col 401.

È il modus operandi di Pirrit.

È un metodo che è conosciuto per indagare sulla consistenza e l'enumerazione degli utenti.
Però serve per individuare facilmente Pirrit e lo usiamo su qui su iMaccanici, da un po'

[cicciopasticcio]

Vedo che nonostante sia stato chiarito numerose volte, Ciccio, continui.
Dev'essere proprio difficile da capire.

Però potresti applicarti.

Ho risposto all'opener, spero di poter essergli utile come lo puo' essere tighine e come lo puoi essere tu.

Chiedo scusa per l'OT, ma seguendolo, ricordo che OS X Pirrit ho avuto occasione di presentarlo al forum con un thread dettagliato e documentato, ancora ai primi di giugno. E' stata la prima volta che quel maledetto nome è comparso su questo forum. In quel thread potete trovare sia l'istruzione da terminale per individuare il malware (poi largamente riproposta da altri qui sul forum), sia la simpatica utility SuspiciousPackage, recensita mesi dopo da MacWorld e dopo ancora riproposta da altri qui sul forum.

Più che altro, in quel thread chiedevo a qualcuno, se aveva le competenze e il tempo per applicarsi, di sviluppare uno script per poter debellare quel maledetto malware. La richiesta è ancora aperta, e c'è qualcuno che ha le competenze, il tempo, e addirittura i files di un Mac infetto per poter preparare l'antidoto. Sarebbe cosa buona e utile....
(fine OT)

[faxus]

... ricordo che OS X Pirrit ho avuto occasione di presentarlo al forum ...

Falso, come sempre.

Hai letto una discussione che andava avanti da giorni.
Avevo, con l l'utente che disgraziatamente aveva il difficile adware e un altro intervenuto, avuto modo di conoscere il metodo e le caratteristiche di Pirrit.
Poi avevo annunciato che stavo preparando un documento con l'esposizione del problema.

E tu ti sei precipitato a postare un raffazzonato argomento.
Tanto che, così malfatto, non è stato considerato da nessuno.

Classico modo di fare tuo, inutile stare a ripeterlo.
Quindi pure ipocrita

... Più che altro, in quel thread chiedevo a qualcuno, se aveva le competenze e il tempo per applicarsi, di sviluppare uno script ...

Anche se te lo ripetessi, come ho già avuto modo di dire, non lo capiresti.
Perché non vuoi capire, ed è già un complimento alla tua intelligenza.

Ma per gli altri sarà facile comprendere, quindi lo riscrivo.

Non si può fare uno script, almeno con gli elementi attuali.
Perché ci sono delle variabili che non si possono applicare.
La conseguenza è la distruzione di cartelle funzionali del sistema.

Ti avevo già detto, anche, che sei un rompicoglioni?
Ah, si, mi pare di sì

C'è ancora in giro per il Forum.
Quello non è stato cancellato, come altri post