10.12 Sierra Ai-je un malware ??

Aglaglo

Aglaglo

Membre actif
1 Avril 2013
122
3
Bonjour,

Suite a l'installation par ma copine d'une version de flash player dont j'ignore (elle aussi) la provenance j'ai paniqué légèrement et lancer une analyse Malwarebyte.

RAS .

Mais je suis aller faire un tour dans le moniteur d'activité et j'ai unutilisateur que je n'avais jamais vu, c'est peut-être rien mais j'ai " _ctkd " le nom de l'opération est également _ctkd .

Ne trouvant rien sur internet je demande vos lumières d'experts.


Merci à vous :p
 
Heu, Sly, tu as lu sa première phrase ? Les quatre dernier mots ?
:bookworm:;):angelic:

Sinon ctkd veut dire cryptotokenkit, c'est un framework standard. Par contre _ctkd, la je ne sais pas. Chez moi c'est ctkd qui tourne, et avec le user root (el capitan)
 
  • J’aime
Réactions: Aglaglo
Salut!

ah donc normal mais pas trop, tu penses qu'il y a raison de s'inquiéter ?

j'entends par là , est-ce que malwarebyte l'aurait détecté si il était méchant ?
 
Déjà je désinstallerai flash player, surtout si tu ne sais pas d'où il vient. Si tu en as vraiment besoin va le chercher sur le site d'adobe.
Après, comme je te l'ai dit, chez moi, sous El Capitan, c'est ctkd et non _ctkd qui tourne. Mes connaissances s'arrêtent la. Si tu n'as pas rebooté ton mac depuis l'installation de flash tu peux aussi regarder le numéro de process : un petit numéro (153 chez moi) est signe qu'il a démarré peu après le boot, donc avant l'installation de flash.
 
Merci !

Je l'ai fait immédiatement et est réinstaller une version officiel.

Le numéro est 187 (PID) . J'ai Reboot le mac en septembre .

En tout cas merci pour ces infos :)
 
:coucou: les amis

_ctkd fait partie des "utilisateurs impersonnels" de l'OS (intitulés avec un undescore _ initial) > dûment répertorié dans la base de données users du Service d'Annuaire (Open Directory).

Pour s'en rendre compte > lancer le Terminal (Applications > Utilitaires > Terminal). Dans la fenêtre ouverte > saisir (copier-coller ; l'une après l'autre) les 2 commandes informatives :
Bloc de code: 
diskutil listUsers /
dscacheutil -q user -a name _ctkd

et ↩︎ (presser la touche "Entrée" du clavier après chaque commande saisie pour l'exécuter)

  • la 1ère affiche sans restriction la totalité des "utilisateurs" de l'OS : aussi bien les utilisateurs impersonnels (avec undescore _ ) que les utilisateurs personnels (noms pleins). En scrutant cette longue liste > on peut identifier le _ctkd.
  • la 2è affiche un condensé des caractéristiques de son fichier d'utilisateur > ce qui donne -->
Bloc de code: 
name: _ctkd
password: *
uid: 259
gid: 259
dir: /var/empty
shell: /usr/bin/false
gecos: ctkd Account
  • en résumé : un obscur "utilisateur impersonnel" qui a une entière légitimité dans l'OS.
​
 
  • J’aime
Réactions: Aglaglo et Membre supprimé 1138547
Bonsoir a tous !

je reviens vers vous car j'ai remarqué quelque chose d'étrange. Mon mac chauffe pas mal alors que je ne fais rien de particulier . l'air sort brulant et le ventilo ne tourne pas fort comme quand je lance un lourd programme.

réflexe ==> Moniteur d'activité encore . Et la je remarque deux opérations qui prennent environ 150% du cpu chacune et qui disparaissent dès 2 secondes , et paf mon ordi retrouve sa température normal. J'ai vérifié ça tout le weekend et a chaque fois qu'il chauffe anormalement j'ouvre le MA et ça redescend... Et dans le graphique "charge processeur" Il y a un énorme pique qui descend d'un coup.

Etrange. :meh:

J'ai réussi a prendre un screen shot quand j'ai aperçu les 2 op . C'est "system-monitor" et "qemu-system-x86_... " . La première fois il y'avait autre chose mais impossible a deviner.

J'ai l'impression que mon ordi travail en back et des que je vais regarder le prog se cache
Voila pour le rapport.

c'est peut être rien , je l'espère. Désolé d'abuser de votre temps mais c'est comme ça qu'on apprend:merci:

Merci a vous :coucou::coucou:

 
D'après quelques recherches il s'agirait d'un système de minage de cryptomonnaie ou autres. (source: https://www.quora.com/What-is-Qemu-System-X86_64-It-takes-up-so-much-energy-in-my-Mac).

Il y a un moyen de m'en sortir sans formatage ?

EDIT:
Insomnie oblige, je continu l'enquête et fait un rapport ici. D'après mes recherches j'ai identifié les fichiers dans ; /usr/local/bin/ il y a
_qemu-system-x86_64
_system-monitor

et pleins d'autres. Apparement la date de création est le 13/03/19 . Et la majorité des fichiers présent ici on été crées le 13/03/19 alors que je n'ai aucune trace d'une quelconque installation ce jour là...

Dans /usr/local/Cellar Il y'a également un dossier "qemu" avec a l'intérieur un dossier 3.1.0_1.

Idem dans /usr/local/Share .


J'ai pas envie de supprimer un mauvais fichier. C'est pour ça que je préfère poster ici avant de faire quoi que ce soit.
 
Dernière édition:
Dans le moniteur d'activité, tu sélectionnes le dit process et tu cliques sur le i en haut à gauche (afficher les informations du processus sélectionné).

Dans la fenêtre qui apparaît tu cliques sur Fichiers et ports ouverts dont les premières lignes d'indiqueront le nom et la localisation du process.

Tu notes le chemin, tu le forces à quitter et tu fais le ménages. Ne pas oublier d'inspecter les répertoires LaunchAgents et LaunchDaemons dans les deux bibliothèques, /Library et ~/Library.

Tu peux t'aider de MalwareBytes.
 
  • J’aime
Réactions: Aglaglo
Moonwalker a dit:
Dans le moniteur d'activité, tu sélectionnes le dit process et tu cliques sur le i en haut à gauche (afficher les informations du processus sélectionné).

Dans la fenêtre qui apparaît tu cliques sur Fichiers et ports ouverts dont les premières lignes d'indiqueront le nom et la localisation du process.

Tu notes le chemin, tu le forces à quitter et tu fais le ménages. Ne pas oublier d'inspecter les répertoires LaunchAgents et LaunchDaemons dans les deux bibliothèques, /Library et ~/Library.

Tu peux t'aider de MalwareBytes.
Cliquez pour agrandir...

Le soucis c'est qu'il disparait très rapidement. Il se cache le fourbe, pas le temps de cliquer dessus mais je l'ai chopé. Voir Edit du post précédent.
je sais même pas si c'est le seul élément douteux tellement il y'a de dossier etc.

Je vire le bin/system-monitor ?
 
Dernière édition:
Moonwalker a dit:
usr/local/Cellar c’est signe que tu as installé Homebrew

Qemu : https://www.qemu.org

Machine virtuelle de type Virtual Box et autres.
Cliquez pour agrandir...

Ah merci, je ne sais même pas ce que c'est. :shifty: Je ne prête plus jamais mon mac

pour être sur je met deux petits screens:
2sd5.png

1rmj.png
 
Dernière édition:
Moonwalker a dit:
Heu... t'as prêté ta machine à un pingouin ? Parce qu'il semble qu'il y a tout pour faire tourner un GNU-Linux.
Cliquez pour agrandir...
:eek: non juste a ma copine. elle m'a avoué avoir installer des jeux pas très officiels . C'est mon macbook de 'loisir' donc j'étais pas trop méfiant.
J'ai même trouvé un dossier avec panneau interdit dans app support nommé "qemusys" . Poubelle.

Je réalise pas trop mais .. Je dois m'inquiéter de tout ça ?
Parceque j'ai jamais installer de gnu sur cette machine.
 
Chapeau la copine ! :hilarious:

Ce n'est pas une usine à gaz, c'est AZF. :wideyed:

Hé bien, si tu veux mon avis, t'es bon pour une chouette Clean Install.

Dans mon répertoire /usr/local il n'y a qu'un répertoire share dans lequel il y a man ; un bin et un lib où j'ai deux petits trucs que j'ai installé. Rien de plus.

Elle t'as foutu un souk pas croyable. En plus, avec des machins pas casher. La clean, y'a plus que ça.
 
  • J’aime
Réactions: Aglaglo
Moonwalker a dit:
Chapeau la copine ! :hilarious:

Ce n'est pas une usine à gaz, c'est AZF. :wideyed:

Hé bien, si tu veux mon avis, t'es bon pour une chouette Clean Install.

Dans mon répertoire /usr/local il n'y a qu'un répertoire share dans lequel il y a man ; un bin et un lib où j'ai deux petits trucs que j'ai installé. Rien de plus.

Elle t'as foutu un souk pas croyable. En plus, avec des machins pas casher. La clean, y'a plus que ça.
Cliquez pour agrandir...
je te raconte pas le bordel dans 'man'
:dead::dead::dead::dead::dead:

Bon ben demain j'y passe. J'ai nettoyé ce que je connaissait de "mauvais" mais la .. ça dépasse mes connaissances .

Merci l'ami !
 
Dernière édition:
Aglaglo a dit:
Ah merci, je ne sais même pas ce que c'est. :shifty: Je ne prête plus jamais mon mac
Cliquez pour agrandir...
La session Invités est là pour ça ! Mais à quoi ça sert qu'Apple se décarcasse… ;)
Ou alors, tu crées une session non admin, rien que pour ta copine (vu qu'à chaque fermeture de la session Invités, elle est remise à zéro)
 

Sujets similaires

T
10.13 High Sierra Vérifier virus & malware
Réponses
19
Affichages
4K
macOS
themist
T
F
iMac mackeeper.pkg et autres problèmes
Réponses
10
Affichages
2K
Mac
mariol66
M
P
Malware (MacKeeper) installé par erreur
Réponses
26
Affichages
8K
macOS
pouppinou
pouppinou
R
MacBook Pro Problème Kernel_Task et batterie
Réponses
2
Affichages
2K
Mac
Royalex83
R
M
Petit guide pour les débutants : maintenance et sécurité
Réponses
16
Affichages
3K
macOS
Aurore95
A
Haut Bas
Back