Hallo,
seit zwei Tagen habe ich diese Meldung beim Starten, was bedeutet diese?

Gruß
Cliff the Dau

Nutzt Du "Dropbox" ?

ja, ich nutze Dropbox . . . ?

Info.plist enthält Konfigurationswerte. Gibt es u.a. in jedem .app Bundle.

Sollte diese Datei (aus welchen Gründen auch immer) kaputt sein, reicht evtl. ein simples Neuinstallieren der betroffenen Anwendung aus.
Kann aber auch durchaus sein, dass es sich um eine Info.plist an einem anderen Ort im System handelt (z.B. ~/Library/Application\ Support). In diesem Fall musst du sie manuell reparieren/löschen.

Es ist die in der App. Wer fummelt denn da in Apps rum. Irgendwelche, ähem, "Tools"?

Ich habe jetzt die alte Version von Dropbox wieder installiert (Time Machine sei dank), jetzt kommt die Meldung nicht mehr.

Und "rumgefummelt" an irgendwelchen Apps habe ich mit Sicherheit nicht . . . als DAU.

Irgendwelche "Tools", sind Programme wie MacCleaner, VirenScanner und ähnliche sinnfreie Programm für den Mac, die meistens von ehem. Windows-Usern benutzt werden, da sie nicht glauben können, dass der Mac solche Programme nicht braucht und sie mehr schaden als nützen.

Bin kein "ehem." Windowsnutzer, habe aber ClamXav in Betrieb. Deshalb, weil ich keine Viren mit Mail weiter schicken möchte. Aber bis jetzt hat er noch nix gefunden.

Was ich schon gerne wissen möchte, warum erscheint die Meldung bei der aktuellen Dropbox Version und bei einer älteren nicht? An was liegts?

Wie void dir schon oben empfohlen hat, reichte vielleicht die Neuinstallation des Programms. Nun hast du zwar eine Neuinstallation vorgenommen, aber aus einem TimeMachine Backup. Damit hat sich wahrscheinlich die info.plist selbst repariert (durch Überschreiben der defekten).

Genauso hätte das auch mit der aktuellen Version klappen können. Du glaubst nun, dass sich das Problem durch die alte gelöst hat. Der Grund wird aber die Neuinstallation an sich sein, welcher Version ist dabei zweitrangig.

Naheliegenderweise dann wohl an Dropbox, oder?
In diesem Dropbox-Forum-Eintrag Dropbox & AppleTv gab's eine gleichlautende Fehlermeldung.

Das sieht, empfiehlt und praktiziert selbst Apple nicht nur inzwischen bei MacOSX, sondern auch in seinen einschlägigen Security-bezogenen Dokumenten und erst recht bei seinem MacOSX Server bereits seit Jahren anders als Du es hier hinstellst.

Oder was meinst Du, was das seit Snow Leopard heimlich still und leise durch die Hintertüre eingezogene XProtect anderes ist als ein solches von Dir infragegestellte Tool, also ein rudimentärer AV-Scanner (um das Kind mal beim Namen zu nennen)? Und was der seit Jahren standardmäßig installierte voll ausgewachsene AV-Scanner Clamav auf MacOSX Server ist als ein solches von Dir infragegestelltes Tool? Und was Apples ureigene Empfehlungen zu diesem ganzen Thema in deren seit Jahren veröffentlichten MacOSX Security Guidelines sind? Lies Dir in den genannten Support-Dokumenten (PDF) mal u.a. Kapitel 10 Using Antivirus Tools (Seite 239) genauer durch, was Apple (nicht nur) an der Stelle explizit sagt und empfiehlt (sondern das an anderen Stellen in demselben Support-Dokument auch nochmal wiederholt):

Man beachte die Reihenfolge (von mir hervorgehoben durch Unterstreichung).
In den Security Guidelines für Leopard steht's übrigens Wort für Wort genauso drin, lediglich die Seitenzahlen sind ein wenig verschieden.

Du scheinst mit Deiner Ansicht das Thema AV-Scanner betreffend gelinde gesagt ein wenig falsch zu liegen oder/und über Jahre fehlinformiert worden zu sein. Spätestens seit dem Einzug von XProtect in MacOSX müsstest Du betreffend dieses Thema wissender sein. Allein die Existenz von XProtect.plist (Inhalt: Signatur-Hashes derzeit aktueller Mac-Schadsoftware), XProtectUpdater und Apples seit Sommer diesen Jahres regelmäßige Updates der XProtect.plist (derzeitiger Stand: Version 31 bei Snow Leopard, Version 1010 bei Lion, letzte inhaltliche Aktualisierung seitens Apple: Tue, 11 Oct 2011 16:17:16 GMT) straft Dich Deiner gemachten Äußerungen Lügen, Du liegst zumindest dieses Thema betreffend also falsch und solltest meiner Ansicht nach Deine diesbzgl. Position noch einmal überdenken.

Der Mechanismus mit XProtect ist keine typische AV-Software: Überprüft wird nur ad hoc und nicht periodisch oder permanent. Geprüft werden nur bestimmte Downloads und nicht die ganze Platte. Und verändern oder löschen tut er nichts. Und Systemrechte braucht er daher auch nicht.

AV-Software schadet mehr als sie nützt am Mac.  Sagen auch die bekannten Hacker, die sierkb sonst immer so toll findet und denen er jedes Wort glaubt. 

Was bitte spricht gegen Clam AV, wenn er nur auf Verdacht eingesetzt wird?

Fortunately, your best bet for Mac OS X virus protection at this point is completely free. ClamXav is a free graphical interface (GUI) for the open-source ClamAV virus checker. The ClamAV scanning routine is also built into some Mac OS X utilities like Tiger Cache Cleaner.

Er arbeitet ganz genauso. Mit denselben technischen Stilmitteln.

Das ist u.a. seine bisherige Beschränkung. Er kann derzeit nicht anders. AV-Scanner wie z.B. Clamav bzw. ClamXav lassen dem Benutzer die Wahl bzw. können selbstverständlich auch ad-hoc (bei ClamXav Sentry bei der Ordner-Überwachung z.B. auf Basis von MacOSX' FSEvents-API , , u.a. auch genutzt von Spotlight und anderen MacOSX Systemdiensten). Alles konfigurierbar. XProtect hat diese Konfigurierbarkeit und diese Diversität der Verwendungsmöglichkeiten bislang NICHT. Und standardmäßig ist zumindest bei ClamXav diesbzgl. erstmal gar nix aktiviert, die Ordner-Überwachung mittels ClamXav Sentry muss der Benutzer erstmal explizit einschalten. Und dann kann er explizit sagen: "Überwache mir bitteden und den und den Ordner, scanne jede Datei sobald die ihren ersten Fuß in diesen Ordner reingesteckt hat". Und ansonsten verhält sich das Teil mucksmäußchenstill. Und scannt gar nüscht. Und die ganze Platte scannt das Teil auch erst, wenn man es ihm explizit sagt. Und monatlich, wöchentlich, stündlich oder zu einer bestimmten Uhrzeit scannt das Teil auch erst, wenn man es ihm aufträgt und vorher nicht. Und dass man einen ganzen Plattenscan nicht ständig machen soll, sondern nur höchstens mal ab und zu und wenn, dann lieber in den weniger arbeitsreichen Nachtstunden oder wenn der Rechner grad' mal längere zeit nix zu tun hat, steht da auch in der Hilfe und der Doku drin.
Sprich: ohne alle diese Anweisungen und Konfigurationsoptionen passiert da erstmal null und nix, wenn das Teil läuft. Und selbst wenn es läuft, dann läuft's äußerst genügsam und ressourcenschonend. Der Daemon selber ist sehr genügsam, und die Sentry-Ordnerüberwachung ist ebenfalls genügsam. Und fix.
Und wenn man zur Ordner-Überwachung z.B. nur die Ordner ~/Downloads, ~/Desktop und ~/Mail angewiesen hat, dann werden eben auch nur diese gescannt, sobald sich da auch nur eine Datei ändert. Und die Scans, die da dann stattfinden, die merkt man im täglichen Gebrauch nicht, so ressourcenschonend geht das da ab. U.a. dank MacOSX' FSEvents-API.


Siehe zuvor Gesagtes. XProtect kann nur das. Clamav und ClamXav z.B. können das ebenfalls (also nur das Prüfen von Downloads oder das Prüfen bestimmter Downloads). Beide können aber noch mehr. Wenn der Benutzer das so will und einstellt. Und ohne seine Aktivierung & Konfiguration und Anweisung "tue bitte dann und dann das und das, und das und das unterlasse bitte" tun die beiden erstmal gar nix.

Clamav und ClamXav auch nicht. Standardmäßig nicht. Und wenn der Benutzer daran nix ändert bzw. das nicht will, dann auch nicht. Nur dann, wenn er will und es so konfiguriert. Und selbst da gibt's Tipps, was er ggf. besser tun und was er besser lassen sollte.

Der clamd daemon und ClamXav Sentry aus dem ClamXav-Paket laufen standardmäßig mit Benutzerrechten. Verwendet man Clamav, die Grundlage von ClamXav, so existiert dafür ein eigener von Apple in MacOSX bereits vordefinierter Systembenutzer nebst zugehöriger eigener Gruppe: _clamav. Dieser Nutzer und diese Gruppe existieren bereits in jedem fabrikneuen MacOSX. Völlig egal, ob man nun Clamav bzw. ClamXav installiert hat und nutzt oder nicht. Sprich: Apple hat MacOSX auf einen möglichen Einsatz von Clamav schon vorbereitet.

Du widersprichst mindestens dem, der es besser wissen sollte: dem Hersteller des auch von Dir favorisierten Betriebssystems, nämlich Apple. Apple praktiziert und schreibt es anders als Du und andere es gerne sehen wollen.

Diese Selbstbeweihräucherungen und Nebelkerzen kannst Du langsam mal einpacken. Spätestens mit der Existenz von XProtect ist's obsolet und falsch geworden. Mit der Einführung von XProtect klammheimlich durch die Hintertüre setzt Apple selber sowas in seinem Desktop-OS ein. Rudimentär zwar und eher frugal in seinem Leistungs- und Wissensumfang, aber immerhin. Und auf seinem Server schon länger in Form einer ausgewachsenen AV-Software namens Clamav, welche im gesamten Unix-Bereich schon länger die breit und am meisten eingesetzte AV-Software ist.

Zitiere jetzt nicht bitte ausgerechnet genau diejenigen, namentlich Charlie Miller & Co., denen Du zuvor, wenn sie Sicherheitslücken von MacOSX und iOS offengelegt hatten, lange Abhandlungen gewidmet, sie zu widerlegen versucht und sie regelmäßig als unglaubwürdige Selbstdarsteller hingestellt hast.

Denen glaube ich insgesamt und unterm Strich jedenfalls mehr als Dir. Die können übrigens auch mehr als Du, sind insgesamt fachlich bewanderter und vor allem zitierwürdiger, insgesamt seriöser und glaubwürdiger als Du. Mache Dir da mal keine falschen Illusionen. Könntest Du genausoviel wie die oder wärest gar besser, würdest Du anders auftreten und auch anders schreiben. Und Du wärest wahrscheinlich insgesamt etwas bescheidener und weniger aufdringlich (Stichwort: Selbstverlinkungen). Charlie Miller & Co. werden regelmäßig von Apple in den Credits zu deren Security Fixes genannt. Die wurden sogar eingeladen, Lion vorab auf Schwachstellen hin zu begutachten. Warum wohl?
Und Du? Wer bist Du? Wo steht Dein Name in Apples veröffentlichten Credits und Dokumenten oder in irgendwelchen anderen Dokumenten und Websites von fachlicher und sonstiger Relevanz und Seriösität? Du bist ein Niemand gegen die, die Du da regelmäßig zerflückst und vorführst! Und Du scheinst in diesem Zusammenhang nicht zu merken, wie lächerlich Du Dich mit Deinem Tun machst bei denen, die fachlich etwas mehr drauf haben als irgendwelche technisch Unbedarften, die Dir möglicherweise an Deinen Lippen kleben und denen Du das Fanboy-Manna in den Mund schiebst.

Jetzt gehen wieder die endlosen Diskussionen los......
Ich weiß, ich muß sie ja nicht lesen.

Man setzt ClamAV auf dem OS X Server ein, um Windows-Clients mit sauberen Emails zu versorgen -- beispielsweise. OS X Server und Client haben das gleiche System, daher auch der User für Clam und MySQL und und und. MySQL muß man deshalb auch nicht aufspielen, ist aber für den Server gedacht.

Der XProtect-Mechanismus ist minimalinvasiv und wartungsfrei -- im Gegensatz zu üblicher AV-Software.

Apple weist auf alle Möglichkeiten hin, die man in diversen Bereichen hat. Das sollte man nicht als Zwang überbewerten.

Eine Sache noch: Laß bitte die Verleumdungen.

Nicht man. Apple. Und ansonsten kann man Clamav auch auf dem Client einsetzen bzw. das ist im Unix-Bereich durchaus üblich und gang und gäbe. Clamav bzw. die Clamav-Engine ist nicht allein gemünzt für den Server-Einsatz. Sie ist wie sie ist und ist sowohl für den Server als auch für den Client geeignet. Für den Client-Einsatz gibt's zudem haufenweise GUI-Aufsätze dafür, bzgl. MacOSX ist ClamXav einer davon. Die kommerzielle Mac-AV-Software ProtectMac AntiVirus wäre neben ClamXav eine weitere GUI-gestützte AV-Software für den Einsatz auf dem Mac-Desktop, die sich unter der Haube der Clamav-Engine bedient.
Clamav ist z.B. auch wählbarer Bestandteil einer jeden Linux-Distribution. Desktop wohlgemerkt. Nicht Server.

Beispielweise. Aber nicht nur die. Macs auch. Und andere Plattformen auch.

Entwickler haben zuweilen ganz gerne eine lokale Datenbank auf ihrem Entwicklungsrechner, der i.d.R. ein Desktop-Rechner ist und nicht zwangsweise immer gleich direkt ein Server. Z.B. ein MacBook/MacBookPro. Um eine MySQL-Datenbank laufen zu lassen braucht's keinen Server, der sich dann auch so nennt. Sowas lässt sich überall installieren und betreiben. Zumal ein Server durch seine Aufgaben und Dienste definiert ist, die er zur Verfügung stellt und nicht durch die Bezeichnung der Software. Einen Desktop-Rechner und MacOSX Desktop kann man im Handumdrehen zu einem Server umfunktionieren, indem gewisse Dienste und Software, die sich ab Werk darauf befindet einfach konfiguriert und in Betrieb nimmt. Beispiel: heise: Mac als Mail-Server und Spamfilter . Bis auf eine Ausnahme ist in dem konkreten Fall alles da, alles an Bord von MacOSX Desktop, was es zum Betrieb eines Servers () braucht.

Warum wohl hat Apple auf MacOSX Desktop folgende Software standardmäßig drauf, obwohl die der Feld-Wald-und-Wiesen-Nutzer nicht braucht und diese Software standardmäßig nicht aktiviert, wohl aber vorhanden ist: Apache2 Webserver, PHP, Subversion, Postfix MTA, fetchmail, procmail, amavisd (AMaViS - A Mail Virus Scanner) als Bindeglied zwischen Postfix, ggf. Spamassassin und diverser AV-Software etc. pp.? Der Desktop-Nutzer braucht sowas vermeintlich nicht. Sowas alles würde man eher auf einem Server verorten als auf jedem fabrikneuen Desktop-Mac. Aber Apple liefert MacOSX Desktop mit allen diesen feinen Sachen aus, auf dass man sie benutzen kann aber nicht unbedingt muss.

Wenn Du AV-Software entsprechend konfigurierst, dann ist die ebenfalls minimalinvasiv und wartungsfrei! Wie man am Beispiel Clamav/ClamXav trefflich sehen kann! Clamav hat nicht umsonst einen so hohen Verbreitungsgrad im gesamten Unix-Bereich (Desktop wie Server). Eben weil's minimalinvasiv und vor allem ressourcenschonend und ebenfalls wartungsfrei ist. Und zwar standardmäßig und per Grundkonfiguration.
Nicht immer die schlechten Kandidaten und die schwarzen Schafe, die sich ihren schlechten Ruf vor allem im Windows-Segment in der Vergangenheit erworben haben (die sich da aber auch nach gewesener schlechter Presse teilweise deutlich gebessert haben) hernehmen und dann stellvertretend für die ganze Zunft alle über einen Kamm scheren!

Warum wohl gibt Apple seine Security Guidelines raus? Warum heißen die Guidelines? Warum spricht Apple darin eindeutige Empfehlungen aus? Und vor allem: warum spricht Apple darin an einigen anderen Stellen Empfehlungen aus und bekräftigt diese sogar mit Nachdruck, liefert seine Systeme aber standardmäßig leider genau so aus, wovon sie an den betreffenden Stellen in diesen Guidelines ziemlich unmissverständlich abraten (z.B. die Einrichtung eines Admin-Nutzers und vor allem eines Non-Admin-Nutzers betreffend)? Damit man mit denen tanzend um den Weihnachtsbaum rennt und sich davon eine dicke Tüte dreht, oder wie?

Ich entgegne Dir vielmehr: nein, nicht überbewerten -- ernster nehmen und nicht kleiner reden und verniedlichen wie Du das tust, ist sinn- und verantwortungsvoll! Und diverse security related authorities wie die NSA, die ihrerseits unabhängig Tipps und Guidelines herausgeben für den Desktop-Rechner, die unterstreichen das an der betreffenden Stelle. Nicht kleinreden! Finger drauf gelegt und im Gegenteil: dick unterstrichen! So wird ein Schuh draus!

Erstens: den ersten Stein hast Du geworfen. Oben.
Zweitens: in welchem Punkt oder Punkten sage ich, objektiv betrachtet und nicht aus Deiner Sicht des Betroffenen, die Unwahrheit, sodass dem schwergewichtigen Wort Verleumdung entsprochen wäre? Dass Dir Obiges alles nicht schmeichelt, ist klar. Dass Du das als Angesprochener naturgemäß anders siehst, ist auch klar. Aber ist es denn objektiv betrachtet falsch, was ich da sage? Beantworten und beurteilen kann das wohl nur ein unvoreingenommener, fachlich bewanderter unparteiischer Dritter. Bis dahin sind's zwei sich widersprechende Sichtweisen und zwei Personen, die sich deshalb gegenseitig offenbar nicht sehr mögen und nicht sehr schätzen.

So. Genug Off-Topic. On-Topic ist das Thema "Was bedeutet das? 'The Application could not be lauched'". Und dazu gab's oben schon Auskünfte. Die Meldung taucht offenbar also auch in Situationen auf, ohne dass an der Dropbox.app was verändert worden oder sie überschrieben worden ist.
Und, an Cliff the DAU gerichtet: ich glaube, die weitere Beantwortung der Ausgangsfrage ist, weil sie wohl sehr spezifisch ist und nicht häufig vorzukommen scheint, eher im Dropbox-Forum aufgehoben und zu finden als hier.

ClamAV kennt nicht einen einzigen Mac-Virus. Es hilft am Mac also nichts, sondern verheizt nur den Akku.

Der XProtect-Mechanismus in Mac OS X fängt die paar Trojanischen Pferde, die es gibt für den Mac, ab. Daher ist heute eine AV-Software auf dem Mac noch unnützer als zuvor.

Auf Deine Schmeicheleien werde ich an anderer Stelle eingehen.

Eine glatte Falschaussage/Lüge Deinerseits. Und das weißt Du auch (weil Du dieser unwahren Behauptung schon einmal überführt worden bzw. korrigiert worden bist). U.a. die ClamXav-Leute und der ClamXav Hauptentwickler Mark Allan selber sorgen dafür und klemmen sich dahinter, dass die zentrale und plattformübergreifende Clamav-Datenbank zeitnah und aktuell mit MacOSX-spezifischen Signatur-Hashes versorgt wird .

ClamAV Virus Database Search , Search for: osx:

Search results:

daily.cvd not-OSX.Tored
daily.cvd OSX.Flashback-1
daily.cvd OSX.Flashback-3
daily.cvd OSX.Flashback-2
daily.cvd OSX.Flashback-4
daily.cvd OSX.Defma
daily.cvd MacOSX.Revir-1
daily.cvd OSX.BlackHol
daily.cvd OSX.BlackHol-1
daily.cvd MacOSX.iMuler-1
main.cvd OSX.RSPlug
main.cvd Trojan.OSX.iservices.A
main.cvd Trojan.OSX.iservices.B
main.cvd OSX.DNSChanger.dmg
main.cvd OSX.DNSChanger.dmg-1
main.cvd Trojan.OSX.RSPlug.F.dmg
main.cvd Trojan.OSX.RSPlug.F.dmg-1
main.cvd Trojan.OSX.RSPlug.F.dmg-2
main.cvd Trojan.OSX.RSPlug.F.dmg-3
main.cvd Trojan.OSX.RSPlug.F.dmg-4
main.cvd Trojan.OSX.RSPlug.F.dmg-5
main.cvd Trojan.OSX.RSPlug.G.dmg
main.cvd Trojan.OSX.RSPlug.G
main.cvd Exploit.OSX.Safari
main.cvd Trojan.OSX.Cowhand
main.cvd Backdoor.OSX.BlackHole
main.cvd Trojan.Downloader.OSX
main.cvd OSX.Flashback
main.cvd Trojan.Downloader.OSX-1
main.cvd OSX.DNSChanger
main.cvd OSX.Trojan-2
main.cvd Trojan.OSX.Opener
main.cvd Trojan.OSX.RSPlug.C
main.cvd Trojan.OSX.RSPlug.D
main.cvd OSX.Tored
main.cvd OSX.RSPlug-2
main.cvd Trojan.OSX.OpinionSpy.B
main.cvd Trojan.OSX.OpinionSpy.A
main.cvd Trojan.OSX.MacDefender
main.cvd Trojan.OSX.MacDefender.B
main.cvd Trojan.OSX.MacDefender.C
main.cvd OSX.Defma-1
main.cvd OSX.Defma-2
main.cvd Trojan.OSX.MacBack
main.cvd Trojan-Downloader.OSX.Fav.A
main.cvd Trojan-Downloader.OSX.Fav.B

46 hits for 'osx'


Hinzu kommen noch diese 6:
Search for: boonana:

Search results:

main.cvd Trojan.Java.Boonana
main.cvd Trojan.Java.Boonana-1
main.cvd Trojan.Java.Boonana-2
main.cvd Trojan.Java.Boonana-3
main.cvd Trojan.Java.Boonana-4
main.cvd Trojan.Java.Boonana-5

6 hits for 'boonana'

Siehe Liste oben und vergleiche.

Du schwurbelst Falschinformationen unters Volk.

Lass' man stecken. Außer gekränkte Eitelkeit und Selbstüberschätzung kommt da bei Dir inhaltlich nicht viel rum.

Wie gesagt: Kein einziger Virus dabei. Und die Trojaner fängt der XProtect-Mechanismus ab.

A (long) story about an (old) Apple II virus
http://vxheavens.com/lib/vjd01.html

How To Write A Virus For The Macintosh or 'How I Learned To Stop Worrying And Love The Resource Manager'
http://vxheavens.com/lib/vxx03.html

Ich sag' nur: . Und das weißt Du auch, dass dem so ist, denn genau so ist Deine ganze Argumentation. Nur geht's darum überhaupt nicht. Deswegen .

"Die"? Ein paar von denen, die es gibt, ja. Aber längst nicht alle, die derzeit für MacOSX kursieren. Von "Boonana" z.B. weiß XProtect nix.

Und noch nicht mal eine simple, harmlose EICAR-Test-Signatur zum Überprüfen der Funktionalität von AV-Software kennt XProtect. Und erst recht nicht würde XProtect anschlagen, wenn man via curl was auf den Rechner bringen würde, da greift nämlich die Quarantäne-Funktion, in die sich XProtect einhakt, nicht.

Download EICAR-Test-Datei von mit einem beliebigen Web-Browser (voreingesteller Ordner für Downloads: ~/Downloads), ClamXav Sentry Ordner-Überwachung von ~/Downloads aktiviert, erzeugt eine Warnmeldung seitens Clamav/ClamXav:

Ohne ClamXav Sentry Ordner-Überwachung würde ich diese Warnung nicht bekommen.
Weil XProtect noch nicht mal die Signaturen der EICAR-Test-Datei(en) kennt. JEDE vernünftige AV-Software kennt diese EICAR-Test-Signatur mindestens. Und sei es nur dazu, um die grundsätzliche Funktionalität testen zu können (wozu genau diese Test-Signaturen ja auch da sind).

Und wenn ich mir dieselbe Datei statt mit dem Browser meiner Wahl nun via Terminal und curl runterlade:


dann passiert bei eingeschalteter ClamXav Sentry Ordnerüberwachung (in diesem Fall bzgl. des ~/Downloads-Ordner) genau dasselbe: ClamXav merkt das, schlägt Alarm und meldet korrekt: "Eicar-Test-Signature FOUND". Schalte ich die Ordnerüberwachung hingegen aus, so bleibt via curl eine Warnung gleich aus zweierlei Gründen aus:

a) XProtect kennt keine EICAR-Signaturen
b) XProtect schlägt beim Weg über curl sowieso nicht an bzw. wird gar nicht erst konsultiert, weil beim Weg über curl die Quarantäne-Funktion von MacOSX leider grundsätzlich nicht greift bzw. diese dort leider nicht zum Tragen kommt.

So ließe sich via curl prima was einschleusen und/oder was nachladen, ohne dass die Quarantäne-Funktion (und damit XProtect) des Betriebssystems überhaupt konsultiert wird.

In diesem konkreten Beispiel anhand der Testdatei: ClamXav merkt's und schlägt Alarm, XProtext merkt's aus gleich zweierlei Gründen nicht und bleibt stumm.

Soviel zu den "überragenden" Fähigkeiten von XProtect.

Nachtrag zum Begriff "Virus":

Hier mal von jemandem eher Unverdächtigen aufgeschlüsselt:

Cisco Systems: What Is the Difference: Viruses, Worms, Trojans, and Bots?

Die Übergänge zwischen den einzelnen Klassifizierungen sind mittlerweile fließend geworden. Grenzten sie sich früher deutlich voneinander ab und kennzeichnete sich ein Virus vor allem dadurch, dass er die Fähigkeit zur automatischen Selbstreplikation hat(te), so können das heutige Schadprogramme entweder auch oder die Notwendigkeiten zu einer unbedingten Selbstreplikation werden bei heutigen Verbreitungsmöglichkeiten eigentlich gar nicht mehr so benötigt, weil es unzählige andere und teilweise viel bessere Möglichkeiten existieren, sich zu verbreiten. Bei den vielen Möglichkeiten, heute durch die Netze und z.B. via USB-Stick von A nach B getragen zu werden und bei der breiten Auswahl an Software-Lücken, wo man sich einhaken kann, braucht's heute gar nicht mehr die unbedingte Fähigkeit, sich selbst und aus sich selbst heraus sich zu vermehren. Weil es genug andere Möglichkeiten gibt, verbreitet zu werden. Deswegen sind Viren allgemein nicht mehr so das Thema und kaum noch in Umlauf, Trojaner und Rootkits haben denen den Rang abgelaufen. Auch unter Windows. Und selbst in der Sicherheitsbranche und vor allem in der Namensgebung von Software wird der Begriff "Antivirus" oder kurz: AV oder vielfach auch Virus als Synonym hergenommen für den Oberbegriff Schadsoftware ganz allgemein und beinhaltet i.d.R. alle Namens- und Schadkategorien -- von Scareware, Virus und Wurm über Trojaner, Bot bis hin zu Backdoor und Rootkit. Und da technisch gesehen die Übergänge immer mehr fließend sind und sich am Objekt selber die einzelnen Kategorien zunehmendem Maße immer weniger genau voneinander abgrenzen lassen, weil es zunehmend Schadprogramme gibt, die gleich in mehrere Kategorien passen, deshalb wird es auch in Sicherheitskreisen durchaus mit Wohlwollen betrachtet, wenn man mal etwas plakativer und volksnäher von Virus spricht, obwohl die betreffende Schadsoftware technisch gesehen nach klassischer Lesart und streng betrachtet nicht als Virus klassifiziert werden sollte, sondern z.B. als Trojaner oder anderes. Diese strenge Klassifizierung mit Alleinvertretungsanspruch ist aber bei heutigen Schadprogrammen, die vielfach als Hybriden oder im Zweier- oder Dreiergespann daherkommen, nicht mehr so ohne Weiteres möglich.

Und deshalb geht es an den eigentlichen Problemen völlig vorbei, wenn man sich jetzt darum kloppt, ob eine Plattform X nun eher mit Schadprogrammen der Klasse Y (Virus) ein Problem hat bzw. davon heimgesucht wird oder mehr mit Schadprogrammen der Klasse Z (Trojanern). Fakt ist: es gibt Schadprogramme, die in zunehmendem Maße auch die Plattform MacOSX heimsuchen und dafür geschrieben werden. Und das ist, bei allem Streit über die Details, genau dieselbe Kategorie an Schadprogrammen, die seit Jahren auch die Windows-Plattform malträtiert. Derzeit werden sogar für die Windows-Plattform erfolgreich erprobte Trojaner hergenommen und angepasst und umgeschrieben für die MacOSX-Plattform. Ja, es existieren sogar seit einigen Monaten erstmalig Bausätze, mit der sich erstmalig ganz gezielt auch MacOSX-Schadsoftware zusammenbauen lässt. Bausätze, die auf der MacOSX Plattform laufen und die an Ergebnissen Schadprogramme ausspucken, die speziell für die MacOSX Plattform bestimmt sind und auch nur dort funktionieren. Diese plattformspezifische Ausprägung und Spezialisierung nun auch auf die MacOSX-Plattform gerichtet, gab's zuvor all die Jahre nicht, das ist neu.

ClamXav kennt keinen einzigen OS X-Virus. Und alle akuten Schädlinge für OS X, Trojanische Pferde von stark gemischter Qualität, werden vom XProtect-Mechanismus in OS X abgefangen. Daher ist jede AV-Software inklusive ClamXav völlig sinnlos auf dem Mac, es sei denn man muß mit Strom heizen, um warme Füße zu kriegen.

_mäuschen Zu Viren auf OS X:

Wenn der XProtect-Mechanismus auf so ein EICAR-File reagieren würde, wäre das ein False-Positive. So produziert ClamXav, wie Du ja selbst siehst, einen Fehlalarm.

Durchschnitts-User verwenden keine Unix-Kommandos wie curl für ihre Downloads, sondern Safari & Co. Da hier die initiale Infektion verhindert wird, gibt es auch kein Nachladen.

Das Trojanische (tote) Pferd "Boonana" ist für Mac OS X nicht relevant, weil es fehlerhaft programmiert ist und nicht richtig funktioniert. Mit Lion funktioniert Boonana standardmäßig erst recht nicht mehr, weil es mit einem Java-Applet beginnt. Wenn es jemals eine relevante und funktionierende Variante von Boonana geben sollte, wird XProtect dies berücksichtigen.

In der Malware-Klassifikation von Cisco lese ich nichts von "fließenden Übergängen". Ich bin mit Ciscos Malware-Kategorisierung weitgehend zufrieden.