Comment se débarrasser proprement de MRT 1.68

Le
M.V.
Avant d'appliquer l'installation du .pkg dont j'ai donné les adresses
hier, il faut se débarrasser d'une manière ou d'une autre de la version
1.68 qui est calamiteuse.

Trois méthodes :
1- démarrer sur un disque externe comme je l'avais indiqué à Manfred il
y a maintenant 4 jours dans <news:rmpbk9$rql$1@dont-email.me> et virer
MRT.app
Cette méthode implique 2 redémarrages.

2- désactiver le SIP pour pouvoir virer MRT.app directement depuis le
disque de démarrage
Cette méthode implique 4 redémarrages (1er redémarrage pour désactiver
le SIP, 2ème redémarrage pour virer MRT.app, 3ème redémarrage pour
réactiver le SIP, 4ème redémarrage pour repartir d'un bon pied).

3- La 3ème méthode nécessite 2 redémarrages et est utile pour ceux qui
n'ont qu'une sauvegarde Time Machine et pas de disque externe de
démarrage. Elle déplace MRT.app en le sortant de son dossier :
- redémarrer en appuyant sur les touches cmd et r en même temps jusqu'à
l'apparition de la pomme
- patienter jusqu'à l'apparition de la fenêtre présentant les
utilitaires macOS
- aller dans le menu Utilitaires et sélectionner l'item Terminal
- si votre disque de démarrage s'appelle Macintosh HD, taper ce qui
suit dans la fenêtre du Terminal :

mv /Volumes/'Macintosh HD'/System/Library/CoreServices/MRT.app /Volumes/'Macintosh HD'/Users/Shared

Attention : il y a une espace après mv et une espace entre
/Volumes/'Macintosh HD'/System/Library/CoreServices/MRT.app
et
/Volumes/'Macintosh HD'/Users/Shared

- vérifier que l'opération s'est bien déroulée en tapant maintenant :

ls /Volumes/'Macintosh HD'/System/Library/CoreServices/

Dans la liste qui s'affiche, MRT.app ne doit plus apparaître.

- pour être encore plus sûr, taper :

ls /Volumes/'Macintosh HD'/Users/Shared

Dans la liste qui s'affiche, MRT.app doit apparaître.

- si MRT.app a bien disparu, taper

reboot

et l'ordinateur redémarrera

NB Vous retrouverez MRT.app 1.68 dans le dossier /Utilisateurs/Partagé/

Procéder ensuite à l'installation de MRT.app à l'aide du .pkg kivabien.

NB Si votre disque de démarrage contient une espace, il est
indispensable de taper les ' et ' autour du nom de votre disque.

NB Cette méthode ne convient pas à Catalina mais aux OS précédents.
--
Michel VAUQUOIS - <http://michelvauquois.fr>
  • Partager ce contenu :
Vos réponses Page 1 / 5
Trier par : date / pertinence
M.V.
Le #26556578
Si vous êtes un peu casse-cou, vous pouvez remplacer la commande
mv /Volumes/'Macintosh HD'/System/Library/CoreServices/MRT.app /Volumes/'Macintosh HD'/Users/Shared
par :
rm -r /Volumes/'Macintosh HD'/System/Library/CoreServices/MRT.app
NB Il y a une espace entre rm et -r et une espace après -r
La 1ère commande déplace le bidule MRT.app alors que la 2ème le
supprime carrément.
--
Michel VAUQUOIS -
JPP
Le #26556432
On 25/10/20 14:38, M.V. wrote:
mv/Volumes/'Macintosh HD'/System/Library/CoreServices/MRT.app /Volumes/'Macintosh HD'/Users/Shared


Même le Terminal connait MV ! :-)))
Fleuger
Le #26557952
Le 25 octobre 2020 à 15:44, M.V. a écrit ceci :
Trois méthodes :

Merci Michel pour ce tuto.
Mon retour d'expérience :
J'ai bien réussi à installer la v 1.67
Après redémarrage, 2 instances de MRT, la mienne et root
Et puis, après deux minutes, plus rien : plus de MRT dans le moniteur.
Ne connaissant pas le fonctionnement normal de MRT, j'ai pensé à un
problème.
Et j'avais un doute par rapport à l'argument KeepAlive de
com.apple.MRTd.plist
Alors, j'ai restauré un clone d'avant le problème.
Même comportement de MRT.
J'ai créé un .MRTReady que j'ai placé dans /var/db/
MRT se relance pour deux minutes puis disparait (le .MRTReady
disparait aussi).
Peu de temps après la restauration du clone, j'ai eu le
téléchargement et l'installation de SWU : installing
"XProtectPlistConfigData, 2133"
Comme toi, je me demande où apple va chercher ses informations pour
les mises à jour.
J'ai essayé InstallHystory.plist dans /Libray/Receipts.
J'ai supprimé XProtectPlistConfigData d'hier, relancé une recherche
de mise à jour et rien de nouveau.
Bon, en fait le fonctionnement de MRT pendant deux minutes est normal.
Traduction de :
Fonctionnant en mode démon, MRT effectue des milliers de
vérifications de signature par rapport à la liste de révocation de
certificats (CRL) d'Apple, dont beaucoup génèrent des erreurs. Il
vérifie également vraisemblablement les éléments par rapport à sa
propre liste de ce qu'il peut supprimer. Fonctionnant en mode agent,
il est beaucoup plus silencieux et ne risque que de générer des
erreurs de sandbox dans le journal. Il semble alors fonctionner avec
un ensemble différent de règles qui pourraient, par exemple,
supprimer des fichiers et des répertoires malveillants ou
indésirables. Cela suggère que le mode démon rassemble une liste
d'actions qui sont ensuite exécutées en mode agent. Lorsqu'il est
exécuté après le démarrage, MRT s'exécute d'abord en démon puis en
mode agent, les deux se terminant dans les deux premières minutes
après le démarrage.
Apparemment, l'auteur de cet article ne connaît pas Onyx pour avoir
la définition des malwares de Xprotect
--
Gérard FLEUROT
M.V.
Le #26557951
Le 26 octobre 2020 à 08 h 52, Fleuger s'est exprimé en ces termes :
Merci Michel pour ce tuto.

Je m'apprêtais à en faire un pour Catalina mais ce n'est donc plus la
peine.
Bon, en fait le fonctionnement de MRT pendant deux minutes est normal.

Il me semble l'avoir déjà dit précédemment après avoir observé ce qui
se passait sous Sierra alors que je n'avais pas fait la MàJ du bidule.
Le nom de la clé "KeepAlive" (que tu appelles un argument) t'aura
induit en erreur.
Ensuite, le fonctionnement de MRT peut durer plus que 2 minutes en
particulier si plusieurs disques externes sont connectés au Mac car ils
sont, eux aussi, scannés par le(s) processus.
Sinon, pour ces histoires de daemon et d'agent, j'ai écrit ça hier :
--
Michel VAUQUOIS - 
Fleuger
Le #26557950
Le 26 octobre 2020 à 09:41, M.V. a écrit ceci :
Le nom de la clé "KeepAlive" (que tu appelles un argument) t'aura
induit en erreur.

Tutafé.
Oui, dans BBEdit, c'est bien Key et ProgramArguments est aussi key
Sinon, pour ces histoires de daemon et d'agent, j'ai écrit ça hier :

Oui, j'avais vu. Merci
Pour Mojave :
sudo /System/Library/CoreServices/MRT.app/Contents/MacOS/MRT -d
Mais, au moins, dans le Terminal, on peut lire
Finished MRT run
--
Gérard FLEUROT
M.V.
Le #26557949
Le 26 octobre 2020 à 10 h 25, Fleuger s'est exprimé en ces termes :
Pour Mojave :
sudo /System/Library/CoreServices/MRT.app/Contents/MacOS/MRT -d
Mais, au moins, dans le Terminal, on peut lire
Finished MRT run

Faudrait faire la même chose avec la version 1.68 pour voir ce que
raconte le Terminal !
--
Michel VAUQUOIS - 
josephb
Le #26557948
Bonjour,
Fleuger
Apparemment, l'auteur de cet article ne connaît pas Onyx pour avoir
la définition des malwares de Xprotect

Intéressant !
Peux-tu en dire un peu plus, publier la liste que donnerait Onyx, parce
que dans la page que tu cites
on y lit
************
Appendix: Known malware which MRT is intended to remove
These lists are based on what MRT 1.35 was known to be able to remove,
/before obfuscation of malware names in 2018 made this impossible to
determine/.
MRT 1.35 removes the following well-known malware:
(et la liste…)
**************
Comme l'auteur de ce blog et quelques autres développeurs bien connus du
monde Apple ont écrit des outils spécifiques aux sécurités d'OS X
ils seraient certainement des plus contents d'enrichir leur base de
données, fû-ce de la part d'une autre source…
Aucune ironie dans mes propos, juste de la curiosité (puisqu'il faut
tout préciser maintenant…)
--
J. B.
Fleuger
Le #26557947
Le 26 octobre 2020 à 10:53, Joseph-B a écrit ceci :
Intéressant !
Peux-tu en dire un peu plus, publier la liste que donnerait Onyx, parce
que dans la page que tu cites

Onyx Mojave ou Catalina > Panneau* Information en haut à droite
puis onglet Protection.
Je ne peux pas publier parce que la liste ne se laisse pas copier.
L'auteur (Joël Barrière) doit certainement connaître l'emplacement du
fichier et la façon de l'ouvrir.
*Voici ce que m'avait écrit Joël Barrière dans une réponse en 2015
(Le panneau Automation n'existe plus)
Note : Utilitaires n’est pas un onglet, c’est un panneau. Les onglets
se trouvent dans les panneaux (excepté dans le panneau Automation qui
n’en contient pas). Par exemple, dans le panneau Maintenance, il y a
les onglets Structure du volume, Permissions, Scripts et Reconstruire.
--
Gérard FLEUROT
Fleuger
Le #26557946
Le 26 octobre 2020 à 11:29, j'ai écrit ceci :
L'auteur (Joël Barrière) doit certainement connaître l'emplacement du
fichier et la façon de l'ouvrir.

En fait, sur Mojave elle est dans
/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.plist
Pas très évident dans BBEdit*, mais c'est plus clair avec PLIST Editor
Pour avoir le nom du malware, il faut chercher le premier <srting>
après le <dict> le plus à gauche.
--
Gérard FLEUROT
M.V.
Le #26557945
Le 26 octobre 2020 à 10:53, Joseph-B s'est exprimé en ces termes :
publier la liste que donnerait Onyx

Comme indiqué par Fleuger, OnyX ne permet pas de récupérer la liste des
malwares reconnus par MRT.
Mais cette liste (de 94 malwares actuellement) figure dans :
/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.plist
Les malwares sont nommés ainsi :
<key>Description</key>
ou
<key>Description</key>
Leur nom commence toujours pas OSX.
before obfuscation

Ce qui signifie ?
Aucune ironie dans mes propos, juste de la curiosité (puisqu'il faut
tout préciser maintenant…)

Je te laisse naturellement libre de mettre en doute ironiquement ma
réponse ci-dessus et de chercher sur internet une revue sérieuse
susceptible de confirmer ou d'infirmer mes propos. ;-)
--
Michel VAUQUOIS -
Poster une réponse
Anonyme