Täglicher Bedrohungsfeed: aktuelle Signaturen, eine Analyse, die auf Ihrem Mac bleibt

Zwei Quellen, die sich ergänzen

Die ClamAV-Signaturen

ClamAV ist eine Open-Source-Antiviren-Engine, die seit vielen Jahren gepflegt und breit eingesetzt wird, etwa auf Mailservern. Ihre Signaturdatenbank deckt eine große Bandbreite schädlicher Dateien ab, darunter präparierte Dokumente und Archive, die plattformübergreifend kursieren.

Die eigene Liste von Mac-Bedrohungen

Bedrohungen, die gezielt macOS angreifen, haben eigene Muster: gefälschte Installationsprogramme, Adware, die sich als Startagent einrichtet, Passwortdiebe in Gestalt von Dienstprogrammen. Novadesko stellt aus öffentlichen Berichten von Sicherheitsforschern und -anbietern eine eigene Liste zusammen: Datei-Hashes, Agentennamen und typische Speicherorte. Diese Liste zielt auf das, was eine allgemeine Datenbank auf einem Mac übersehen kann.

Automatisch aktualisiert und signiert

• Täglich: MacNeat prüft, ob ein neuer Feed vorliegt, und lädt ihn im Hintergrund, ohne dass Sie etwas tun müssen.
• Ed25519-Signatur: Jeder Feed ist von Novadesko signiert. Vor der Nutzung prüft die App die Signatur mit dem integrierten öffentlichen Schlüssel. Eine veränderte oder unvollständige Datei wird abgelehnt, und die App arbeitet mit dem letzten gültigen Feed weiter.
• Offline: Ohne Verbindung funktioniert die Analyse mit der zuletzt empfangenen Datenbank. Sie verlieren nur die Aktualität der Signaturen, nicht die Funktion.

Das Herunterladen des Feeds ist der einzige nötige Austausch: vom Server zu Ihrem Mac, für Ihre Dateien nie in die umgekehrte Richtung.

Was analysiert wird, und wie

Bei einer Prüfung gleicht MacNeat Dateien an sensiblen Orten mit dem Feed ab: Download-Ordner, Programme, Startagenten und Daemons, Erweiterungen und Objekte, die mit der Sitzung starten. Die Ergebnisse erscheinen in zwei Gruppen:

• Bekannte Bedrohungen: Eine Datei entspricht einer Signatur. MacNeat markiert sie deutlich und bietet an, sie zu entfernen.
• Zu prüfende Objekte: Ein Agent oder eine Datei zeigt verdächtige Merkmale, ohne einer bekannten Bedrohung zu entsprechen. Sie entscheiden, mit den nötigen Angaben (Ort, Entwickler, Datum).

Um einen aktiven Agenten zu entfernen, entlädt MacNeat ihn zuerst und legt ihn dann in den Papierkorb. Nichts wird direkt gelöscht, und der Vorgang wird protokolliert, damit er sich rückgängig machen lässt. Bei einem Fund informiert Sie eine Mitteilung „Verdächtiges Objekt erkannt“.

Neben XProtect und Gatekeeper, nicht an ihrer Stelle

macOS bringt bereits mehrere Schutzschichten mit: Gatekeeper prüft beim Start Signatur und Beglaubigung von Apps, XProtect blockiert bekannte Schadsoftware, und Apple aktualisiert die Definitionen im Hintergrund. MacNeat deaktiviert oder umgeht keine dieser Schutzfunktionen.

Der Bedrohungsfeed bietet einen zweiten Blick: eine andere Datenbank, eine Prüfung auf Abruf oder nach Zeitplan und vor allem eine verständliche Übersicht dessen, was auf Ihrem Mac im Hintergrund läuft. Keine Lösung, auch diese nicht, garantiert, alles zu finden: Eine sehr neue Bedrohung kann den Signaturen einige Tage entgehen. Gute Gewohnheiten bleiben unverzichtbar, angefangen damit, Apps nur aus dem App Store oder von der Website des Entwicklers zu installieren.

Verlauf, Erinnerungen und Grundsätze

• Verlauf: Jede Sicherheitsanalyse wird in Bilan mit der Anzahl gefundener Bedrohungen festgehalten.
• Erinnerung: Liegt die letzte Prüfung mehr als zwei Wochen zurück, weist eine Empfehlung darauf hin.
• Analyse kostenlos: Prüfung und Feed sind ohne Lizenz verfügbar. Das Entfernen gefundener Objekte erfordert eine Lizenz (7-tägige Testphase).
• Apple Silicon und Intel, mit demselben Feed auf beiden Architekturen.