Door Nelleke1966: Help per ongeluk een zipp bestand geopend uit een mail. Ik kreeg iets in beeld toen ik deze opende.

Door bollie: Is het niet zo dat het openen van het Zip bestand en het opstarten van de inhoud (JS bestand in dit geval) twee verschillende handelingen zijn? Als mijn veronderstelling juist is, heeft topic-startster alleen maar de inhoud gezien zonder de malware te starten. Dan zou er dus helemaal niets aan de hand zijn.....
Graag een reactie....

Door SecGuru_OTX: Virustotal is niet de meest betrouwbare source, hier staan n.l. alleen bekende varianten in.

Je lunt het bestand(de .js) laten uitvoeren in de Sandbox van payload security. Het bestand zal dan op een virtuele PC worden geopend en geanalyseerd.

Een goede oplossing om 0-days te ontdekken, hierbij de link van de Sandbox:

https://www.hybrid-analysis.com

Door Nelleke1966: Ik heb op het zipp bestand geklikt , maar zag verder niets in beeld komen.

Door bollie:
Dat zou volgens mijn gezonde-en-simpele-boerenverstand betekenen dat je het zip bestand hebt geopend maar de inhoud niet geactiveerd hebt. Probleem zou hiermee dan opgelost zijn voor jou....

Door Poco:
Dat wordt hier - https://nakedsecurity.sophos.com/2016/04/26/ransomware-in-your-inbox-the-rise-of-malicious-javascript-attachments/ ook gesteld:

- het betreft primair Windows systemen;
- email programma's voeren geen JavaScript uit;
- je moet een uitgepakte .js file hebben uitgevoerd (aangeklikt) om de malware te activeren.

Alleen onder Windows worden op het systeem aanwezige .js bestanden (die je moeilijk kan onderscheiden wanneer file extensies weergeven uit staat) uitgevoerd bij aanklikken.

Uit de link hierboven: "Unfortunately, once a .JS file has been saved to your hard disk, Windows will run it by default outside your browser, using a system component called WSH, short for Windows Script Host."

Door Poco, 10:23 uur:
[...]
Uit de link hierboven: "Unfortunately, once a .JS file has been saved to your hard disk, Windows will run it by default outside your browser, using a system component called WSH, short for Windows Script Host."

&

Door Anoniem: Dag ‘Nelleke’,

Dank voor de VT link
Die inderdaad niet veel meer specifieke informatie geeft.

Voor zover er informatie is te vinden bij andere AV bedrijven lijkt het in de richting van windows malware te wijzen.
Ik heb eerlijk ook nog niet gehoord van javascript malware die Trojans binnenhaalt voor Mac.
Het aardige is dat als dat gebeurt iedereen (de mac community en daarna de security pers) erbovenop duikt want groot nieuws : malware gevonden voor de mac!
Dus ik denk dat het windows malware is.

Wat je zelf kan doen is het volgende
Ongevaarlijk, maar op eigen verantwoordelijkheid en een back up heb je altijd want die maak je netjes met je Time Machine nietwaar


Gaan we :

- Offline gaan met je Mac

- Mac opnieuw opstarten met de shift toets ingedrukt houden
ik weet niet welk mac os x je hebt maar de nieuwsten gaan dan flink knipperen als je inlogt om je te waarschuwen dat je in de safe modus zit en daar ook niet in verder moet werken (standaard dan)

- Daarna ga je naar je systeemvoorkeuren (grijs vakje met radartjes in je dock-bar onderaan) en klikt op de voorkeuren van de gebruikers te herkennen aan silhouet mennekes

- Open die voorkeuren en ga naar login rechts boven en kijk of daar rare software items bij staan die mee opstarten.
typisch wat je daar kan vinden is ituneshelper, Skype, office, Dropbox, je virusscanner ,...

Het mooist is als daar zo weinig mogelijk staat, met uitzondering van een virusscanner dan.
Staat daar echt een raar programma dat je niet kent (hopelijk is het wel jouw mac en werken anderen er niet of op met software die jij niet kent) , dan kan je het daar weghalen met een minnetje

Dit is een typische plek om malware mee te laten opstarten met je mac

- Ga daarna nog even voor de zekerheid naar de voorkeuren security (veiligheid) in je algemene voorkeuren paneel en kijk of daar onderaan de setting staat
“allow apps downloaded from: Mac app store .

Dat is de veiligste setting.
wil je iets buiten de app store installeren let dan goed op, lees nog over de software en haal het alleen van de site van de maker, en verlaag dan het niveau daar tot je de app wel kan installeren.
daarna verhoog je het weer.

- Open nu je browser waarmee je browst, dat zal vast Safari zijn?
Houdt bij het openen de shift toets weer ingedrukt (veilig opstarten) en verwijderen je internethistorie, dat vindt je bovenaan onder menu Safari en kies voor alle historie wissen.
Dat raadt ik je aan omdat volgens mij die mac .js files direct in de browser opent en je dus mogelijk naar een site bent geweest waar je niet wilde zijn zonder dat je er erg in had.

O,ja, ik vergeet het bijna, in de eerste voorkeur algemeen van Safari, haal daar onderaan het vinkje weg “ veilige / vertrouwde bestanden automatisch openen na download.
helemaal niet. dat doe je voortaan met de hand. ;

Kijk daar nog even of je home startpage adres niet is veranderd.

je kan daarna nog naar privacy voorkeur gaan en daar onder manage website data kijken of er rare dingen staan en weghalen of alles weghalen, maar als het goed is is dat al weg met het eerste wissen van daarnet.

Dan gaan we nog even kijken of dat javascript geen reclame ware heeft geïnstalleerd en kijke we bij extensies, haal daar alles weg wat je niet bevalt of niet zelf geïnstalleerd hebt.

sluit daarna Safari af.

- Start daarna je mac weer gewoon op doe er wat dingen mee, kijk of je iets raars opvalt, open je browser een paar keer en sluit haar weer.
als alles weer normaal werk ga dan weer online.

Dit is geen garantie maar al een prima check die je zelf hebt gedaan dan, het kan altijd uitgebreider, maar dat wordt te gek om dat hier helemaal te gaan beschrijven.


Vertrouw je het dan nog niet, mmmm
Roep er dan iemand (live) bij die je kan helpen.
Wat ook kan is een indicatie rapportje draaien met het speciaal voor mac community hulpvragen geschreven programmaatje “"Etrecheck"” en publiceer de resultaten hier opdat er naar gekeken kan worden.
Maar kijk er eerst naar voordat je iets op het net gooit.

Dit (etrecheck rapportjes publiceren) doet men continue op de apple support community forums en ook op Nederlandse apple hulp vraag forums.
Zelf hou ik er niet heel erg van qua privacy dat publiceren, maar het zijn ook weer geen wereldschokkende computer/systeem gegevens en je bent ook nog anoniem hier (mits nelleke1966 niet herleidbaar is tot een echte nelleke met huisadres om je spullen op te halen als jij net even weg bent).

Wat een ander aan een dergelijk Etrecheck rapport soms in een oogopslag kan zien is dus welke opstartitems je mac heeft (heb je nu zelf al bekeken), wat voor mogelijk vreemde zaken er nog meer geïnstalleerd zijn op admin niveau, natuurlijk het soort mac dat je hebt met welke versie van os x, welke internet plugins je hebt geïnstalleerd.
Dat soort dingen, vaak zit het een aanwijzing voor een probleem tussen.

Het programmaatje beweert ook reclame-ware te kunnen opsporen, ik heb er echter geen ervaring mee want nooit last daarvan.

Etrecheck : https://etrecheck.com/
Goed in het verwijderen van reclame-ware is het programma van thomas reed / malware bytes, de gratis versie.
maar die scanner herkent jou bestand nog niet, maar je kan het proberen.
https://www.malwarebytes.com/mac/

En geen twee virusscanners standaard tegelijkertijd draaien, dan zitten ze elkaar inde weg en levert mogelijk problemen op.
Maarrr, bij twijfel : niet oversteken, niets digitaals openen, en niets op het web publiceren.

Dus het klikvingertje met zipjes voortaan in bedwang houden, op zich niets om voor te schamen want vrijwel iedereen heeft er wel eens last van.
Daarom werkt de truuk ook zo goed.
Gelukkig is er eigenlijk geen (?) zip malware voor de Mac op de email, nog niet, was dit een mooie waarschuwing.


Succes met de iMac

Groet

andereMac

SHA256: dc02e26223e3a019f67a20e97e8219b64ebdbe34ca12107ce89cc167d85c919b
Bestandsnaam: factuur23928-0826718.zip
Detectieverhouding: 9 / 57
Datum van analyse: 2017-03-08 18:34:11 UTC (3 dagen, 2 uur geleden)

12-03-2017, 12:55 door een anonieme troll: [...]
Lijkt computerhulp ook niet een doeltreffender forum in plaats van security.nl? Wij hebben (oprecht) weinig interesse in gehannes van mensen
[...]

Door Erik van Straten: ...

Jammer ook dat de moderator zo'n bijdrage, die, in tegenstelling tot de bijdrage van de TS, geen ruk met security te maken heeft, doorlaat. Met het risico serieuze vragenstellers weg te jagen en in te ruilen voor dit soort junk.

Door Anoniem:
Dat gold ook voor deze bijdrage van
" Gisteren, 18:42 door Anoniem "
die onnodig lang quotet, vervolgens helemaal niet ingaat op wat er gesteld wordt en lukrake onzin beweert om maar discussie uit te lokken.

De reactie van Aha doet niets om eea weer ontopic te krijgen of getroll te bestrijden, integendeel het lokt verdere off topic discussie verder uit.

Topic's waarin Mac OS X security wordt besproken moeten en zullen getorpedeerd worden en het rare is dat dat simpel voorkomen kan worden omdat er al op anieme reacties gemodereerd wordt.