¿Estos documentos de mi recuperación de archivos son motivo de preocupación?

Question

¿Estos documentos de mi recuperación de archivos son motivo de preocupación?

#1 de klanomath (2 votos)

1

Ejecuté un software de recuperación de archivos y devolví miles de documentos. He pasado MUCHO tiempo investigándolos para averiguar qué se hizo con mi iMac (sin mi permiso).

Aquí hay un poco de historia en el dispositivo en cuestión:

El acceso de administrador fue originalmente suyo y no mío
Se agregó acceso de administrador a mi cuenta
Su cuenta fue eliminada de admin
A su cuenta se le dio acceso de administrador nuevamente
Se eliminó su acceso de administrador
Ella borró sus datos
Su cuenta de usuario fue desactivada

Mi información & los datos permanecieron (todo eso, creo).

He cortado & pegue partes de un par de los documentos sospechosos que recuperé durante la recuperación del archivo a continuación. Algunos de estos documentos eran muy largos y después de editar esta publicación, ya no cabe. Corté algunas cosas y ahora he publicado & vinculado al más largo en github.

Un enlace a la (larga) Plist está en github aquí .

He hecho muchas horas (acumulativamente días o incluso semanas por ahora) de búsqueda tratando de averiguar cuáles son muchos de estos procesos. Algunos parecen ser completamente normales, algunos fueron difíciles de identificar y otros parecían completamente maliciosos (dado el contexto). Algunos de estos procesos parecen ser programas que le dirían a otra persona sobre mi actividad, lo que estoy haciendo con mis archivos o le doy a otra persona el control de mis archivos en mi red local y / o de forma remota.

Uno de estos ejemplos es Aventail. Parece un programa que monitorea la actividad.

enlace

En la esquina superior derecha de mi pantalla (junto a mi nombre de usuario, fecha y otros iconos), hay un icono negro rectangular con líneas verticales blancas que lo atraviesan. Cuando hago clic en él ahora, aparece un menú desplegable con "VPN no configurado" (no se puede hacer clic), y aparece "Abrir preferencias de red". Estoy casi seguro de que esto no era así antes (decía algo diferente, pero no recuerdo qué era). No sé cómo o si eso podría ser relevante. Esta fue una de las pistas originales que me hicieron investigar más a fondo.

Mi búsqueda en google me dice que hay algunos programas listados en la lista que monitorean la actividad. Curiosamente, vi algunos de ellos en listas que se publicaron en documentos similares en otras partes de Internet. No estoy seguro de por qué ese es el caso o lo que significa sobre mi situación específica.

Parece que este programa Aventail se ejecutó en mi computadora. Después de que una búsqueda en Google me dijo que tiene la capacidad de monitorear la actividad a través de SSL VPN, hice una búsqueda en el buscador Aventail y encontré algunos documentos generados a través de la recuperación de archivos que parecen ser relevantes aquí.

No apareció nada nuevo en el sistema para el término de búsqueda "Aventail", solo documentos en la recuperación de archivos . Supongo que esto se debe a que estos documentos se eliminaron y luego se recuperaron, y también que el término no está actualmente en mi sistema (aparte de lo que se ha eliminado & recuperado).

Los siguientes dos documentos (a continuación) aparecieron en mi recuperación de archivos que muestran su nombre de usuario asociado con el software en cuestión. Redacté partes de él por razones obvias.

 #Uninstaller catalog, (c) Aventail Corporation
 #Sat Jul 28 15:33:31 EDT 2007
 https\://ex1500.n****************.com/postauthOnDemand/ondemand_daemon_pkg.jar=/Users/**********/Library/Application Support/Aventail/ondemand/

y luego

 #!/bin/bash
 # Uninstaller script for Aventail OnDemand Daemon.
 # This script removes all files associated with the Aventail OnDemand Daemon.
 # Please copy this file to your home directory before executing it.
 echo ""
 echo "***Aventail OnDemand Daemon Uninstaller***"
 echo ""
 echo "You need to have Administrator privileges on this computer to"
 echo "complete the operation."
 #echo ""
 #echo -n "Do you wish to proceed with the uninstallation [y/n]: "
 #read RESPONSE

 #if [ "$RESPONSE" != "y" ]; then
 #    exit 0
 #fi

 OSX_V4_STARTUP_DIR="/Library/StartupItems/OnDemand"
 OSX_V3_STARTUP_DIR="/System/Library/StartupItems/OnDemand"
 OD_EXEC_DIR="/var/Aventail/ondemand"
 OD_HOME_DIR="$HOME/Library/Application Support/Aventail/ondemand"
 INSTALL_FOUND="false"

 # If the daemon is already running then stop it
 DAEMON_PID='ps -axww | grep -v grep | grep "ODService" | awk '{print $1}''
 if [ $DAEMON_PID ]; then
 INSTALL_FOUND="true"
sudo kill $DAEMON_PID
fi 

 # Remove files from the /Library/StartupItems folder if on Mac OS X v4
 if [ -d $OSX_V4_STARTUP_DIR ]; then
 INSTALL_FOUND="true"
 sudo rm -rf $OSX_V4_STARTUP_DIR
 fi

 # Remove files from the System/Library/StartupItems folder if on Mac OS X v3 
 if [ -d $OSX_V3_STARTUP_DIR ]; then
 INSTALL_FOUND="true"
 sudo rm -rf $OSX_V3_STARTUP_DIR
 fi
 # Remove files from the Aventail OnDemand Daemon execution directory
 if [ -d $OD_EXEC_DIR ]; then
 INSTALL_FOUND="true"
 sudo rm -rf $OD_EXEC_DIR
 fi
 # Remove files from the Aventail OnDemand Daemon home directory
 if [ -d "$OD_HOME_DIR" ]; then
 INSTALL_FOUND="true"
 sudo rm -rf "$OD_HOME_DIR"
 fi  

 if [ "$INSTALL_FOUND" == "true" ]; then
# Expire sudo timestamp
sudo -k
else
echo ""
echo "No installation of Aventail OnDemand Daemon was found on your computer."
fi

El siguiente documento se ve un poco diferente al Plist. Éste apareció buscando el término "hamachi". Una vez más, esto solo apareció en documentos recuperados y en ninguna otra parte.

<key>BuildMachineOSBuild</key>
<string>15E55</string>
<key>CFBundleDevelopmentRegion</key>
<string>English</string>
<key>CFBundleExecutable</key>
<string>AMD7000Controller</string>
<key>CFBundleGetInfoString</key>
<string>AMD7000Controller 1.42.6 16644</string>
<key>CFBundleIdentifier</key>
<string>com.apple.kext.AMD7000Controller</string>
<key>CFBundleInfoDictionaryVersion</key>
<string>6.0</string>
<key>CFBundleName</key>
<string>Radeon HD 7000 Controller</string>
<key>CFBundlePackageType</key>
<string>KEXT</string>
<key>CFBundleShortVersionString</key>
<string>1.42.6</string>
<key>CFBundleSignature</key>
<string>????</string>
<key>CFBundleSupportedPlatforms</key>
<array>
    <string>MacOSX</string>
</array>
<key>CFBundleVersion</key>
<string>1.4.2</string>
<key>DTCompiler</key>
<string>com.apple.compilers.llvm.clang.1_0</string>
<key>DTPlatformBuild</key>
<string>7D129b</string>
<key>DTPlatformVersion</key>
<string>GM</string>
<key>DTSDKBuild</key>
<string>15E55</string>
<key>DTSDKName</key>
<string>macosx10.11internal</string>
<key>DTXcode</key>
<string>0730</string>
<key>DTXcodeBuild</key>
<string>7D129b</string>
<key>IOKitPersonalities</key>
<dict>
    <key>Controller</key>
    <dict>
        <key>ATY,Hamachi</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_USE_SM</key>
                <true/>
            </dict>
        </dict>
        <key>ATY,Ikura</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_PTPL2_TBL</key>
                <data>
                VwAAAFQAAABQAAAATAAAAEgAAABEAAAAQAAA
                ADwAAAA4AAAANgAAADQAAAAyAAAAMAAAAC4A
                AAAsAAAAKgAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_READ_VALIDATION</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>5</integer>
            </dict>
        </dict>
        <key>ATY,IkuraS</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_PTPL2_TBL</key>
                <data>
                VwAAAFQAAABQAAAATAAAAEgAAABEAAAAQAAA
                ADwAAAA4AAAANgAAADQAAAAyAAAAMAAAAC4A
                AAAsAAAAKgAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_READ_VALIDATION</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>5</integer>
            </dict>
        </dict>
        <key>ATY,Kani</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_PTPL2_TBL</key>
                <data>
                VwAAAFYAAABVAAAAVAAAAFMAAABSAAAAUQAA
                AFAAAABPAAAATgAAAE0AAABMAAAASwAAAEoA
                AABJAAAASAAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_READ_VALIDATION</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>5</integer>
            </dict>
        </dict>
        <key>ATY,KaniS</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_PTPL2_TBL</key>
                <data>
                VwAAAFYAAABVAAAAVAAAAFMAAABSAAAAUQAA
                AFAAAABPAAAATgAAAE0AAABMAAAASwAAAEoA
                AABJAAAASAAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_READ_VALIDATION</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>5</integer>
            </dict>
        </dict>
        <key>ATY,Maguro</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_PTPL2_TBL</key>
                <data>
                XQAAAEsAAABIAAAARQAAAEIAAAA/AAAAPAAA
                ADYAAAAzAAAAMAAAAC0AAAAqAAAAJwAAACQA
                AAAhAAAAHgAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_READ_VALIDATION</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>3</integer>
            </dict>
        </dict>
        <key>ATY,MaguroS</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_PTPL2_TBL</key>
                <data>
                XQAAAEsAAABIAAAARQAAAEIAAAA/AAAAPAAA
                ADYAAAAzAAAAMAAAAC0AAAAqAAAAJwAAACQA
                AAAhAAAAHgAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_READ_VALIDATION</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>3</integer>
            </dict>
        </dict>
        <key>ATY,Namako</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_DEF_DITH</key>
                <integer>0</integer>
                <key>CFG_NVV</key>
                <integer>2</integer>
                <key>CFG_USE_AGDC</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_ActivitySamplingInterval</key>
                <integer>1300</integer>
                <key>PP_MediumStateDownHysteresisTimeOut</key>
                <integer>2162162</integer>
                <key>PP_SISLANDSMediumStateHysteresisDown</key>
                <integer>3</integer>
            </dict>
        </dict>
        <key>ATY,Ramen</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_FB_LIMIT</key>
                <integer>6</integer>
                <key>CFG_NVV</key>
                <integer>2</integer>
                <key>CFG_PTPL2_TBL</key>
                <data>
                GwAAABoAAAAZAAAAGAAAABcAAAAWAAAAFQAA
                ABQAAAATAAAAEgAAABEAAAAQAAAADwAAAA4A
                AAANAAAACgAAAA==
                </data>
                <key>CFG_USE_AGDC</key>
                <true/>
                <key>CFG_USE_STUTTER</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_EnableLoadPostProductionFirmware</key>
                <integer>1</integer>
            </dict>
        </dict>
        <key>ATY,Tako</key>
        <dict>
            <key>aty_config</key>
            <dict>
                <key>CFG_DEF_DITH</key>
                <integer>0</integer>
                <key>CFG_FB_LIMIT</key>
                <integer>6</integer>
                <key>CFG_NVV</key>
                <integer>2</integer>
                <key>CFG_USE_AGDC</key>
                <true/>
            </dict>
            <key>aty_properties</key>
            <dict>
                <key>PP_EnableLoadPostProductionFirmware</key>
                <integer>1</integer>
                <key>PP_Falcon_QuickTransition_Enable</key>
                <integer>1</integer>
            </dict>
        </dict>
        <key>CFBundleIdentifier</key>
        <string>com.apple.kext.AMD7000Controller</string>
        <key>IOClass</key>
        <string>AMD7000Controller</string>
        <key>IOMatchCategory</key>
        <string>IOFramebuffer</string>
        <key>IOName</key>
        <string>AMD7000Controller</string>
        <key>IOPCIMatch</key>
        <string>0x26001002 0x22001002 0x67901002 0x67981002 0x679A1002 0x679E1002 0x67801002 0x68201002 0x68211002 0x68231002 0x68251002 0x68271002 0x682B1002 0x682D1002 0x682F1002 0x68351002 0x68391002 0x683B1002 0x683D1002 0x683F1002 0x68001002 0x68011002 0x68061002 0x68081002 0x68101002 0x68181002 0x68191002</string>
        <key>IOProbeScore</key>
        <integer>65050</integer>
        <key>IOProviderClass</key>
        <string>IOPCIDevice</string>
        <key>aty_config</key>
        <dict>
            <key>CFG_APER_MODE</key>
            <integer>1</integer>
            <key>CFG_CAA</key>
            <integer>0</integer>
            <key>CFG_FB_LIMIT</key>
            <integer>0</integer>
            <key>CFG_FORCE_HDMI</key>
            <false/>
            <key>CFG_FORCE_MAX_DPS</key>
            <false/>
            <key>CFG_GEN_FLAGS</key>
            <integer>0</integer>
            <key>CFG_INT_SSPC</key>
            <integer>25</integer>
            <key>CFG_NODM</key>
            <true/>
            <key>CFG_NO_HDCP</key>
            <false/>
            <key>CFG_NO_MST</key>
            <false/>
            <key>CFG_NO_PP</key>
            <false/>
            <key>CFG_NO_SLS</key>
            <false/>
            <key>CFG_PTPL2_MAX</key>
            <integer>70</integer>
            <key>CFG_PTPL2_MIN</key>
            <integer>16</integer>
            <key>CFG_USE_AGDC</key>
            <false/>
            <key>CFG_USE_FBC</key>
            <false/>
            <key>CFG_USE_FEDS</key>
            <true/>
            <key>CFG_USE_STUTTER</key>
            <false/>
            <key>DALReadDelayStutterOff</key>
            <integer>4</integer>
            <key>DALUseUrgencyWaterMarkOffset</key>
            <integer>0</integer>
        </dict>
        <key>aty_properties</key>
        <dict>
            <key>PP_ActivitySamplingInterval</key>
            <integer>1000</integer>
            <key>PP_DALPowerLevel</key>
            <integer>1</integer>
            <key>PP_DisableCAC</key>
            <integer>0</integer>
            <key>PP_DisableDTE</key>
            <integer>1</integer>
            <key>PP_DisablePowerContainment</key>
            <integer>0</integer>
            <key>PP_DisableSMUUVDHandshake</key>
            <integer>0</integer>
            <key>PP_DisableSQRamping</key>
            <integer>0</integer>
            <key>PP_DisableULV</key>
            <integer>0</integer>
            <key>PP_DriverCalculateCACLeakage</key>
            <integer>1</integer>
            <key>PP_EnableLoadFalconSmcFirmware</key>
            <integer>1</integer>
            <key>PP_HighSamplingInterval</key>
            <integer>200000</integer>
            <key>PP_MCLKStutterModeThreshold</key>
            <integer>40000</integer>
            <key>PP_PowerGatingDisable</key>
            <integer>0</integer>
            <key>PP_SISLANDSVotingRightsClients</key>
            <integer>12583475</integer>
            <key>PP_UserMaxClockForMultiDisplays</key>
            <integer>1</integer>
        </dict>
    </dict>
</dict>
<key>OSBundleLibraries</key>
<dict>
    <key>com.apple.iokit.IOACPIFamily</key>
    <string>1.2</string>
    <key>com.apple.iokit.IOGraphicsFamily</key>
    <string>1.3</string>
    <key>com.apple.iokit.IOPCIFamily</key>
    <string>1.2</string>
    <key>com.apple.kext.AMDSupport</key>
    <string>1.4.2</string>
    <key>com.apple.kpi.bsd</key>
    <string>8.0.0</string>
    <key>com.apple.kpi.iokit</key>
    <string>8.0.0</string>
    <key>com.apple.kpi.libkern</key>
    <string>8.0.0</string>
    <key>com.apple.kpi.mach</key>
    <string>8.0.0</string>
</dict>
<key>OSBundleRequired</key>
<string>Safe Boot</string>

Y creo que la Parte 5 confirma mis sospechas de algunas / todas las otras partes, pero no estoy seguro.

016-04-24 at 19.06.12</string>
    <key>LAST_USED</key>
    <date>2016-04-25T10:28:00Z</date>
    <key>URL</key>
    <string>file:///Users/**********/Library/Messages/Archive/2016-04-24/%E2%80%AA+1%20(808)%20341-8094%E2%80%AC%20on%202016-04-24%20at%2019.06.12.ichat</string>
</dict>
<key>calculat</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Calculator</string>
    <key>LAST_USED</key>
    <date>2016-06-15T06:00:34Z</date>
    <key>URL</key>
    <string>file:///Applications/Calculator.app/</string>
</dict>
<key>console</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Console</string>
    <key>LAST_USED</key>
    <date>2016-04-20T04:31:21Z</date>
    <key>URL</key>
    <string>file:///Applications/Utilities/Console.app/</string>
</dict>
<key>contro</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Mission Control</string>
    <key>LAST_USED</key>
    <date>2016-05-07T17:19:30Z</date>
    <key>URL</key>
    <string>file:///Applications/Mission%20Control.app/</string>
</dict>
<key>hp</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>HP Scan</string>
    <key>LAST_USED</key>
    <date>2016-05-19T21:22:54Z</date>
    <key>URL</key>
    <string>file:///Applications/Hewlett-Packard/HP%20Scan.app/</string>
</dict>
<key>july</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>*************@gmail.com.ical</string>
    <key>LAST_USED</key>
    <date>2016-08-13T01:06:15Z</date>
    <key>URL</key>
    <string>file:///Users/**********/Downloads/*************@gmail.com.ical/</string>
</dict>
<key>ke</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Keynote</string>
    <key>LAST_USED</key>
    <date>2016-07-26T07:09:35Z</date>
    <key>URL</key>
    <string>file:///Applications/iWork%20'09/Keynote.app/</string>
</dict>
<key>keychain</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Keychain Access</string>
    <key>LAST_USED</key>
    <date>2016-07-26T07:10:42Z</date>
    <key>URL</key>
    <string>file:///Applications/Utilities/Keychain%20Access.app/</string>
</dict>
<key>logmein</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>LogMeIn.plugin</string>
    <key>LAST_USED</key>
    <date>2016-07-31T07:19:20Z</date>
    <key>URL</key>
    <string>file:///Library/Internet%20Plug-Ins/LogMeIn.plugin/</string>
</dict>
<key>preview</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Preview</string>
    <key>LAST_USED</key>
    <date>2016-08-08T10:14:20Z</date>
    <key>URL</key>
    <string>file:///Applications/Preview.app/</string>
</dict>
<key>termin</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Terminal</string>
    <key>LAST_USED</key>
    <date>2016-07-31T07:47:21Z</date>
    <key>URL</key>
    <string>file:///Applications/Utilities/Terminal.app/</string>
</dict>
<key>terminal</key>
<dict>
    <key>DISPLAY_NAME</key>
    <string>Terminal</string>
    <key>LAST_USED</key>
    <date>2016-05-07T17:27:08Z</date>
    <key>URL</key>
    <string>file:///Applications/Utilities/Terminal.app/</string>
</dict>

Es probable que haya utilizado un proceso diferente para lograr lo que estoy tratando de hacer, pero digamos que sí. Si vio estos resultados, qué elementos serían motivo de alarma y / o indicativos de que sus datos ¿fue transferido o alguien más que usted lo examinó?

imac kernel-extensions

pregunta HIDood 12.09.2017 - 10:20

1 respuesta

Lea otras preguntas en las etiquetas imac kernel-extensions

¿Cómo consigo que Apple Hardware Test funcione en una Mac restaurada? Applescript: cadena hasta la fecha

score 2 · Answer 1

La lista publicada es /System/Library/Extensions/AppleKextExcludeList.kext/Contents/Info.plist.

Contiene una larga lista de extensiones de kernel. El propósito de AppleKextExcludeList.kext es evitar la carga de los kexts listados en Sierra (en función de sus hashes o sus nombres) porque están desactualizados, son maliciosos o causan pánicos en el núcleo. AppleKextExcludeList.kext es un paquete instalado por el instalador del sistema macOS y actualizado regularmente (última actualización: 18 de diciembre de 2016).

El segundo archivo es un script bash de desinstalación para el Aventail OnDemand Daemon. Si ejecuta el script con sudo /path/to/script.sh Aventail OnDemand Daemon debe eliminarse de su sistema. También puede ser parte de un Aventail Uninstaller.app que, una vez iniciado, ejecuta el script.

Ninguno de los archivos es adecuado para comprometer su sistema ni son buenos indicadores de que su sistema ha sido comprometido o está / ha sido monitoreado.

Para verificar si su sistema está activamente monitoreado se requeriría instalar una gran cantidad de software y / o observar el comportamiento del sistema de archivos y la actividad de la red. Explicar esto está más allá del alcance de su pregunta.

Lecturas adicionales (fuentes arbitrarias no profesionales después de una búsqueda rápida y descuidada en Google):