Para encurtar a história, um amigo meu recebeu um alerta de "login com êxito de IP não reconhecido" em uma conta de correio da Microsoft que ele possui. As condições do "hack" (tempo, senha usada etc) são tais que a única opção viável que não seja um alerta "falso positivo" (que ainda é muito provável) é que a senha foi de alguma forma roubada do cliente - um iMac - usado para criar a conta em um período muito curto (a data de "comprometimento" é de apenas 5 minutos após a criação da conta original) - se você quiser, poderá encontrar mais detalhes nesta pergunta em Segurança da informação .
De qualquer forma, o ponto é que, se houve um comprometimento, deve haver algum keylogger ou malware semelhante na máquina. Fiz algumas pesquisas básicas, mas não encontrei nada. Também tentou instalar o Little Snitch, mas os filtros de rede não mostraram nada de suspeito.
Dito isto, como não consigo encontrar nenhuma infecção para remover nem tenho certeza de que o alerta que meu amigo recebeu foi falso positivo, planejava "restaurar / reinstalar / formatar" a máquina, mesmo que isso signifique sacrificar todas as dados contidos nele. Mas devo admitir minha ignorância ... mesmo se eu também possuo um iMac, nunca tive a necessidade de restaurá-lo após algum compromisso, então não sei realmente como proceder.
Portanto, estou pedindo sugestões sobre a melhor abordagem aqui. Presumo que vou ter que baixar um sistema operacional iso em algum lugar do site da Apple e usá-lo para restaurar o sistema, mas não tenho certeza. Esta página parece indicar que eu deveria entrar no "Modo de restauração" e trabalhar a partir daí .... mas ... isso significa que o componente "restauração" ainda está vinculado ao sistema operacional atualmente instalado e pode ter sido comprometido também em uma maneira que poderia dar a uma infecção a capacidade de sobreviver à "limpeza"?
Desculpe se essas perguntas parecem um pouco confusas ou paranóicas, mas não encontrando nenhum vestígio da suposta infecção, agora estou começando a avaliar qualquer possibilidade.
/Volumes/Recovery HD/com.apple.recovery.boot/BaseSystem.dmg. No Internet Recovery Mode, é uma imagem semelhante ao netboot ("baixada" da Akamai / Apple).Respostas:
Veja como detectar keyloggers:
Execute este comando no terminal:
kextstatAlgo assim deve aparecer:
Então, todos os meus primeiros 143 kexts começam
com.apple, então eles devem estar seguros (a menos que alguém use o ID do pacote da Apple, olhe atentamente cada um deles e veja se há algo errado com o nome) e eu instalei paralelos, portanto, deve ser seguro também.Em seguida, verifique se uma das extensões está vinculada a algo que não faz sentido, como uma extensão de áudio vinculada a uma biblioteca de rede. Você pode ver a que eles estão vinculados olhando dentro dos colchetes angulares <>. Por exemplo, o item 114 (
com.parallels.virtualhid) vincula ao item 1, que écom.apple.kpi.bsd. como 1 está dentro dos colchetes angulares (<37 5 4 3 1>)Se você achar algo suspeito, remova-o, mas antes de continuar, verifique se possui a extensão correta do kernel. Desabilitar a extensão errada do kernel pode tornar a vida realmente difícil. Eles geralmente são encontrados
System/Library/Extensionse terminam com a extensão.kext.Agora, se você realmente deseja reinstalar completamente o macOS, siga estas etapas:
desligue o computador e ligue-o enquanto mantém pressionado Command- R.
selecione "Utilitário de disco" no menu
Selecione "reinstalar o macOS" Siga as instruções
Observe que a instalação pode demorar muito, principalmente quando a conexão à Internet é lenta, pois efetivamente baixa o sistema operacional da Internet.
fonte