Adobe-Akamai-„Trojaner“ rsmac_3652

Wenn es etwas gibt, was ich hasse, dann sind das heimliche Installationen auf meinem Rechner. Im Zuge der Installation der Photoshop-Trial-Version CS5 ist ungefragt auch etwas von Akamai installiert worden, was unentwegt nach Hause telefoniert.

Als ich heute zu Testzwecken meinen lokalen Proxy Privoxy abgeschaltet hatte, meldete die ausgehende Firewall Little Snitch, dass sich ein Programm namens rsmac_3652 zu einem Akamai-Server verbinden möchte (Privoxy und Little Snitch sind so konfiguriert, dass nur Programme aus einer Whitelist durchgelassen werden, deshalb bemerkte ich diese nach Hause telefonieren-Versuche erst nach dem abschalten von Privoxy). Aber was, bitteschön, ist rsmac_3652? Gescroogelt und herausgefunden, dass das irgendein Daemon von Akamai ist. Den ich allerdings nie selbst installiert habe.

Also die Aktivitätsanzeige geöffnet und den Prozess beenden wollen – ging nicht. Stattdessen wollte sich das Ding bei jedem Versuch, es zu beenden, zu zwei verschiedenen Akamai-Servern verbinden. Okay, also Terminal gestartet, die PID von dem Ding ermittelt und ein sudo kill versucht. Als Antwort kam dies:

Der Prozess wurde zwar beendet, aber sofort wieder neu gestartet. Also musste es irgendeinen übergeordneten Prozess geben, der kontrolliert, ob rsmac_3652 läuft und es gegebenenfalls neu startet. Mit Lingon nachgeschaut und fündig geworden:

Nach dem Löschen von loader.pl ließ sich dann auch rsmac_3652 beenden.

Wenn man sich die Bestandteile der Akamai-Installation mal anschaut, kriegt man das kalte Datenschutzgrauen: In diversen Text- und Logfiles wird unter anderem dokumentiert, dass eine GUID erzeugt und auf meinem Rechner gespeichert wurde, die dann anschließend mit weiteren Daten ungefragt nach http://log3.redswoosh.akadns.net/logs/ hochgeladen wurde.

Und seither versucht dieses trojanergleiche Ding ununterbrochen, sich mit meiner GUID zu Akamai zu verbinden und irgendwas dorthin zu senden. Hier ein Auszug aus der Logdatei (persönliche Daten unkenntlich gemacht):

V3652:100507_083809: Starting Up. Akamai NetSession Interface V3652:100507_083809: [info] escapehatch.cpp:main(1): Proxy for initial EHCheckEscapeHatch call is '' V3652:100507_083832: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 88.221.141.29:443, closing. [[64] Host is down] V3652:100507_083832: [warn] EscapeHatch.cpp:EscapeHatch_RequestHTTP(1063): Received '' for 'https://client.akamai.com/conf/client_ini.html?guid=XXXXXXXXXXXXXXXXXXXXXXXXXXXXX&stage=startup&rand=XXXXX&iniKey=XXXXXXXXXXXXXXX' proxy ''. V3652:100507_083833: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 88.221.141.29:443, closing. [[64] Host is down] V3652:100507_083835: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.140:443, closing. [[64] Host is down] V3652:100507_083836: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.148:443, closing. [[64] Host is down] V3652:100507_083838: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.140:443, closing. [[64] Host is down] V3652:100507_083842: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.140:443, closing. [[64] Host is down] V3652:100507_083849: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.140:443, closing. [[64] Host is down] V3652:100507_083900: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.140:443, closing. [[64] Host is down] V3652:100507_083915: [warn] RSNet.cpp:RSNetTcpSocketOpen(1241): Could not connect to 77.67.10.141:443, closing. [[64] Host is down]

Und so geht das dann im 15-Minutentakt weiter.

Ich habe Akamai bisher immer für eine ganz seriöse Firma gehalten. Dass heimlich etwas auf meinem Rechner installiert wird, was mit einer GUID ununterbrochen nach Hause funkt (die lokalen Logfiles sind nach zwei Tagen bereits knapp 50 MB groß), lässt mich meine Ansicht allerdings deutlich revidieren.

Kurzkritik Photoshop CS5

Und eine weitere Erkenntnis: Das Update auf Photoshop CS5 kann ich getrost auslassen. Die wesentlichsten Neuerungen wie z. B. Content Aware Fill, Puppet Warp, Lens Correction und HDR Pro brauche ich nicht. Das erste funktioniert nicht mal halb so gut wie in den diversen vorab veröffentlichten Filmchen, das zweite ist für mich persönlich völlig nutzlos, für Lens Correction habe ich PTLens und für HDR Photomatix Pro.

Also dann, Adobe, bis (vielleicht) CS6.