Onko ongelma? SFLSharedPrefsTool

[Sahaaja]

Hei!

Tsekkalien joskus terminaalissa fs_usage-komennolla, mitkä prosessit käyttävät kovalevyä. Käyttöjärjestelmäni on Leopard.

Koodi: Valitse kaikki

sudo fs_usage

Minulle tuli uusi prosessi, nimeltä SFLSharedPrefsTo tai SFLSHaredPrefsTool, jonka en aiemmin ollut nähnyt käyttävän kovalevyä. Tästä löyty netistä vain yksi maininta, jossa sen väitetään olevan troijalainen keylogger!! Mietin myös, että normaaleista prosesseista (systeemi ym.) yleensä on enemmän osumia netissä.

Onkhan minulla siis troijalainen? Tämän selvittämiseksi pyytäisin teitä katsomaan terminalissa, josko sama ongelma löytyy myös teiltä ja olisi silloin oletettavasti normaali prosessi.

Terminaalissa löysin myös tämä polun, jossa ko. ohjelma sijaitsee:

Koodi: Valitse kaikki

/system/library/frameworks/CoreServices.framework/Frameworks/OSServices.framework/Versions/A/Support

Täällä tiedostot:

Koodi: Valitse kaikki

 CSConfigDotMacCert		SFLConvertGlobalLoginItemsTool	SFLSharedPrefsTool

Pyyntö:

1) Voisiko joku katsoa, löytyykö tämä sama tiedosto (SFLSharedPrefsTool) yllämainitusta hakemistosta? Leopardilla.

2) Jos joku sattuisi tietämään: mikä ihmeen prosessi tuo on, kun siitä ei ole juuri mitään mainintaa netissä?

Ohessa huoleni herättänyt linkki Macosxhints-sivustolle, jonka teknisyyden aste menee yli tietämykseni. Siinä kuitenkin sanotaan viestissä otsikolla "CONFIRMED":

"This actually is a trojen of some sort..."

http://forums.macosxhints.com/showthrea ... 651&page=2

Olisin äärimmäisen kiitollinen avusta!

[Macco]

1) Voisiko joku katsoa, löytyykö tämä sama tiedosto (SFLSharedPrefsTool) yllämainitusta hakemistosta? Leopardilla.

Voisi. Näkyihän tuolla juuri nuo tiedostot olevan.
- CSConfigDotMacCert
- SFLConvertGlobalLoginItemsTool
- SFLSharedPrefsTool

[Sahaaja]

Näkyihän tuolla juuri nuo tiedostot olevan.

Kiitos! Hopeinen omena on kyllä loistava sivusto, kun apua etsii! Näyttää siis paremmalta.

Mietin kuitenkin vielä: fs_usage antaa prosessin nimeksi "SFLSharedPrefsTo". (Ei siis mainitusta hakemistosta löytyvä SFLSharedPrefsTool.)

Onko turvallista ajatella, että Macosxhints-sivuston viestittäjä on yksinkertaisesti väärässä troijalaisepäilyjensä suhteen? Osaako / jaksaako joku tulkita tuota Macosxhintsin keskustelua, mun tekninen tieto ei riitä sen ymmärtämiseen. Kiinnostaisi vain tietää, mistä nuo puhuvat ja mitä mieltä olette, onko huoli aiheeton?

(Vai olenko kuunnellut liikaa Radioheadia ja minusta on tullut heidän kappaleensa mukaan "Paranoid Android"? )

[tkt]

Näkyihän tuolla juuri nuo tiedostot olevan.

Kiitos! Hopeinen omena on kyllä loistava sivusto, kun apua etsii! Näyttää siis paremmalta.

Mietin kuitenkin vielä: fs_usage antaa prosessin nimeksi "SFLSharedPrefsTo". (Ei siis mainitusta hakemistosta löytyvä SFLSharedPrefsTool.)

Onko turvallista ajatella, että Macosxhints-sivuston viestittäjä on yksinkertaisesti väärässä troijalaisepäilyjensä suhteen? Osaako / jaksaako joku tulkita tuota Macosxhintsin keskustelua, mun tekninen tieto ei riitä sen ymmärtämiseen. Kiinnostaisi vain tietää, mistä nuo puhuvat ja mitä mieltä olette, onko huoli aiheeton?

(Vai olenko kuunnellut liikaa Radioheadia ja minusta on tullut heidän kappaleensa mukaan "Paranoid Android"? )

Komentoriviohjelmat usein leikkaavat näytettäviä nimiä lyhyemmiksi, jos ne eivät mahdu ennalta suunniteltuun kenttään.

--Ari

[tkt]

Onko turvallista ajatella, että Macosxhints-sivuston viestittäjä on yksinkertaisesti väärässä troijalaisepäilyjensä suhteen? Osaako / jaksaako joku tulkita tuota Macosxhintsin keskustelua, mun tekninen tieto ei riitä sen ymmärtämiseen. Kiinnostaisi vain tietää, mistä nuo puhuvat ja mitä mieltä olette, onko huoli aiheeton?

Ihan tavallinen hätääntynyt käyttäjähän tuo näytti olevan. Keskustelussa ei minusta missään vaiheessa esitetty todisteita troijalaisen suhteen. Maininnat SFLSharedPrefsTool-prosessiin liittyivät siihen, että se oli kaatunut (zombie). Vähän tarkemmin keskustelua katsottaessa huomaa helposti, että siinä puhutaan käyttöjärjestelmä versiosta Mac OS X 10.4.1 ja keskustelu on käyty yli kolme vuotta sitten. Jos kyseessä olisi oikea uhka, niin siitä olisi paljon enemmän kirjoittelua ja todennäköisesti Applekin olisi ehtinyt julkaista korjauspaketin.

--Ari

[Sahaaja]

Tästä kysellään myös Applen keskusteluissa.

http://discussions.apple.com/thread.jsp ... ID=1574396

Itsekin hämmästyin, koska en ollut KOSKAAN AIEMMIN nähnyt prosessia. Nykyään se taas vilahtelee tuolla aina silloin tällöin, vaikka en ole asentanut uusia ohjelmia.

Kysyisinkin teiltä, armahat hopeiset: jos ajatte komennon

Koodi: Valitse kaikki

sudo fs_usage

ja annatte pyöriä tovin, esiintyykö kenelläkään SFLSharedPrefsTo -prosessia kovalevyllä "puuhastelemassa"? Minulla se tulee välillä, ei ole koko aikaa esillä. Ja se muuten näyttää prosessin nimeksi juuri tuon SFLSharedPrefsTo, vaikka olisi terminaalin ikkuna koko ruudun levyinen. (vrt. SFLSharedPrefsTool) Voisiko jokin haitta-apina riehua koneellani normaaliksi prosessisksi naamioituneena?

Nimittäin legitiimeistä systeemiprosesseista ja yleisten ohjelmien prosesseista yleensä löytyy viittauksia netistä. Vaikka aloitusviestissä linkittämini keskustelu onkin vanha, ehkä kyseessä on ohjelma, joka nyt havaittuja tietoturva-aukkoja hyödyntäen on alkanut levitä enemmän? Mikäli tätä prosessia muilla ei ilmene, voinee tuumia, onko tässä jotain mätää...

Kiitos, jos jaksatte katsoa koneiltanne, vaikka kokemus onkin, että yleensä haittaohjelmaepäilyt ovat osoittatuneet tyhjiksi. Toivottavasti tämäkin!

Systeemini on Leopard (päivitykset ajettu) ja G5.

EDIT: Komennonhan saa sitten loppumaan Ctrl-C:llä. Fs_usage pukkaa ruutuun kaiken kovalevyaktiviteetin.

[Shine]

Kysyisinkin teiltä, armahat hopeiset: jos ajatte komennon

Koodi: Valitse kaikki

sudo fs_usage

ja annatte pyöriä tovin, esiintyykö kenelläkään SFLSharedPrefsTo -prosessia kovalevyllä "puuhastelemassa"? Voisiko jokin haitta-apina riehua koneellani normaaliksi prosessisksi naamioituneena?

Testasinpa tuota. Reilun 10min pyöritin tuota komentoa muttei kertaakaan tullut kumpaakaan SFL-tiedostoa näkyville. Nuo ensimmäisessä viestissä mainitsemasi tiedostot kyllä löytyvät paikoiltaan.

En usko, että tuo olisi mitenkään vaarallinen. Onhan se tosin mahdollista, että se olisi jonkin sortin troijalainen mutta pitäisin sitä hyvin epätodennäköisenä. Mikäli koneesi ei käyttäydy omituisesti (esim. ohjelmat jumittuvat, nettisivut vievät eri osoitteisiin, sähköpostia käytetty eri osoitteesta kuin omasta, jne..) sanoisin, että elä menetä yöuniasi tämän takia