10.12 Sierra Y a t-il un malware qui usurpe les processus apple ?

[almazor]

Bonjour,

Je souhaiterai savoir s'il est normal d'avoir l'activation du processus parsec.d (signé apple) mais pour autant, les adresses IP cibles pointent vers un serveur AWS français, qui semble être des serveurs secondaires, bien que la connexion est en HTTPS. Même après avoir mis le firewall en blocage maximale de connexions entrantes, le processus se lance toujours (est-ce bien Apple ?). J'ai rien d'alarmant à part une suspicion de ce service qui possède évidemment une fichier load plist dans le /System/Library/LaunchAgents. J'ai déjà eu ce genre de log :

"com.apple.xpc.launchd.unmanaged.parsecd.2174" tried to hijack endpoint "com.apple.parsecd" from owner: com.apple.parsecd"

Suite à quoi j'ai fais une recherche plus poussée pour enlever tout ce qui était inutile relativement à cela, je peux même rentrer dans les détails de chaque fichier que j'ai supprimé et leur contenu. Concernant le "com.apple.xpc.launchd.user.domain", dans les logs de diagnostiques, j'ai des messages comme :

com.apple.xpc.launchd[1] (com.apple.xpc.launchd.user.domain.501.100007.Aqua): Caller tried to hijack service: path = /System/Library/LaunchAgents/com.apple.pluginkit.pkd.plist, caller = loginwindow.98 etc etc.

com.apple.xpc.launchd[1] (com.apple.xpc.launchd.user.domain.501.100007.Aqua): Caller tried to hijack service: path = /System/Library/LaunchAgents/com.apple.trustd.agent.plist, caller = loginwindow.98

J'ai vérifié à part ça chaque fichier plist d'entrée. Bien à vous.

 

[Romuald]

Je souhaiterai savoir s'il est normal d'avoir l'activation du processus parsec.d

parsecd is "Used for Suggestions in Spotlight, Messages, Lookup and Safari and usually connects to api.smoot.apple.com."

Il me semble donc logique qu'il tourne en tâche de fond pour pouvoir être appelé instantanément en cas de besoin

 

[almazor]

parsecd is "Used for Suggestions in Spotlight, Messages, Lookup and Safari and usually connects to api.smoot.apple.com."

Il me semble donc logique qu'il tourne en tâche de fond pour pouvoir être appelé instantanément en cas de besoin

En effet. Ce qui me semblait un peu étrange étaient les IP françaises là où les autres services ont des IP américaines. Mais je sais qu'ils passent aussi par des serveurs secondaires. J'ai tenté de bloquer les IP dans /etc/pf.conf mais rien y fait.