Etlichen Mac-Anwendern dürfte das Programm KnockKnock des Sicherheitsforschers Patrick Wardle ein Begriff sein. KnockKnock überprüft im Rahmen eines manuellen Scans verschiedene Verzeichnisse innerhalb von macOS, in denen möglicherweise Malware persistent installiert ist. Noch einen Schritt weiter geht BlockBlock, das ebenfalls von Wardle bereitgestellt wird und heute aktualisiert wurde.
Wardle über KnockKnock: "Malware installiert sich dauerhaft, um sicherzustellen, dass sie bei jedem Neustart eines Computers automatisch ausgeführt wird. KnockKnock deckt dauerhaft installierte Software auf, um diese Malware generisch aufzudecken. [...] KnockKnock überprüft bekannte Standorte, an denen möglicherweise dauerhafte Software oder Malware installiert ist. Es listet einfach nur dauerhaft installierte Software auf. Obwohl signierte Apple-Binärdateien ausgefiltert werden, wird wahrscheinlich legitime Drittanbieter-Software angezeigt."
Während KnockKnock manuell vom Anwender gestartet werden muss, übernimmt BlockBlock die Überwachung im Hintergrund. "BlockBlock überwacht gängige Speicherorte und warnt, wenn eine persistente Komponente hinzugefügt wird", so Wardle. Für die Überwachung setzt BlockBlock auf Apples Endpoint Security Framework.
Bild: Patrick Wardle.
Nun hat der Autor ein Update für BlockBlock veröffentlicht. Die Version 2.2.5 bietet eine überarbeitete Benutzeroberfläche für die Installation und eine verbesserte Handhabung bestimmter Events. BlockBlock läuft ab macOS Catalina 10.15 und liegt auf Englisch vor.
Sowohl BlockBlock als auch KnockKnock bieten sich als Ergänzung zu dem in macOS integrierten Malware-Schutz XProtect an. Anwender können sich dabei entscheiden, ob sie den Malware-Scan manuell durchführen (KnockKnock) oder automatisch im Hintergrund laufen lassen möchten (BlockBlock). Beide Programme gleichen Treffer auf Wunsch mit der VirusTotal-Datenbank von Google ab.
Beide Anwendungen sind quelloffen, d. h. der Quellcode ist öffentlich einsehbar und via GitHub könnten Problemberichte und Verbesserungsvorschläge beim Entwickler eingereicht werden.