Warme Macbook door qemu-system-x86_64 ?

[mk997]

Hallo allemaal,

Sinds een paar dagen wordt mijn macbook bij gebruik erg warm en loopt de batterij snel leeg. Ik heb onlangs een download geïnstalleerd van een onbekende ontwikkelaar. Sinds dien doet het probleem zich voor.

In de activiteitenweergave valt mij op dat 'qemu-system-x86_64' erg veel van mijn CPU verbruikt. In rust staat de CPU% van 'qemu-system-x86_64' op 100. Daarnaast wordt 30% van de cpu door het systeem gebruikt, tegenover 2% door de gebruiker. Zou hier het probleem in zitten? Zoja, hoe verwijder ik het?

Ik heb al geprobeerd om malware van mijn computer te verwijderen. Ik kon weinig verschil merken.

Hoor het graag!

[WhatsappHack]

Qemu is een tooltje om zaken mee te virtualiseren, dus om virtuele machines mee te draaien.
Draai je zelf virtuele machines of iets dat leunt op emulatie? Zo neen dan lijkt het er op dat iemand iets leips draait op je Mac Je zou eens kunnen kijken welke bestanden dat proces open heeft om wellicht te achterhalen wat het aan het draaien is. Je kan de PID van het proces vinden met bijv. "ps -aef | grep qemu" en dan lsof -p <PID>.

[MAX3400]

Ik heb onlangs een download geïnstalleerd van een onbekende ontwikkelaar.

En welke ontwikkelaar was dat? Wat zou het pakket moeten doen?

Het lijkt er namelijk op dat er een gevirtualiseerd iets (malware / mining / whatever) draait en je mogelijk nu vrolijk bijdraagt aan de inkomsten van anderen.

[mk997]

Antwoord op WhatsappHack:

Nee ik draai zelf geen virutele machines. Heb het zelf ook nog nooit gedownload. Ik zie het ook nergens in mijn programma's staan. Ik besef dat het zo snel mogelijk verwijderd moet worden, maar hoe?

Waar moet ik dit invullen: "ps -aef | grep qemu" en dan lsof -p <PID> ?

De PID kwam ik ook tegen in de activiteitenweergave. Het viel mij op dat die steeds verandert. Ik klik dan op "forceer stop" en dan komt het proces 'qemu-system-x86_64' gelijk weer terug.

[mk997]

MAX3400 schreef op dinsdag 13 november 2018 @ 11:01:
[...]

En welke ontwikkelaar was dat? Wat zou het pakket moeten doen?

Het lijkt er namelijk op dat er een gevirtualiseerd iets (malware / mining / whatever) draait en je mogelijk nu vrolijk bijdraagt aan de inkomsten van anderen.

Het was een plugin voor een muziekprogramma

Dit is het bestand dat ik gedownload heb:
https://drive.google.com/...k0fHQg4STAbl1fFpyOZa/view

Vanaf deze webpagina:
YouTube: VocalSynth 2 - Mac OSx - FREE DOWNLOAD VST PLUGIN 2018 - EASY INST...

[Voor 3% gewijzigd door mk997 op 13-11-2018 19:02]

[Thralas]

mk997 schreef op dinsdag 13 november 2018 @ 18:56:
Waar moet ik dit invullen: "ps -aef | grep qemu" en dan lsof -p <PID> ?

In een terminal.

Bij het eerste commando kun je het pid en parent pid uit kolom 2 en 3 vissen.

Beide even meegeven aan het lsof-comondo (vervang <PID>).

EDIT: Zie onder.

De PID kwam ik ook tegen in de activiteitenweergave. Het viel mij op dat die steeds verandert. Ik klik dan op "forceer stop" en dan komt het proces 'qemu-system-x86_64' gelijk weer terug.

Niet goed. Duidelijk bedoeld om het een virtualisatieproduct te laten lijken, maar waarschijnlijk minet het enkel monero's..

EDIT: Wow. Het is echt een virtuele machine. Brutale malwareboer

Uit de package van TS:

code:

./Library/LaunchDaemons/com.modulesys.qemuservice.plist
./Library/Application Support
./Library/Application Support/qemusys
./Library/Application Support/qemusys/qemuservice.sh
./Library/Application Support/qemusys/._qemu-system-x86_64
./Library/Application Support/qemusys/qemu-system-x86_64
./Library/Application Support/qemusys/sys00_1-disk001.qcow2

Je moet de service stoppen, verwijderen en dan netjes het programma gaan kopen

Ik heb geen idee hoe services werken op een Mac, maar probeer het volgende eens in een terminal:

launchctl stop com.modulesys.qemuservice
launchctl kill com.modulesys.qemuservice
launchctl remove com.modulesys.qemuservice

Hierna controleren of:

code:

/Library/LaunchDaemons/com.modulesys.qemuservice.plist

Weg is, en deze verwijderen:

code:

/Library/Application Support/qemusys

[Voor 44% gewijzigd door Thralas op 13-11-2018 19:13]

[mk997]

Bij het invullen van "ps -aef | grep qemu", krijg ik deze gegevens:

0 11136 1 0 7:06pm ?? 0:00.00 /bin/bash /Library/Application Support/qemusys/qemuservice.sh
0 11137 11136 0 7:06pm ?? 14:38.43 /usr/local/bin/qemu-system-x86_64 -M accel=hvf --cpu host /Library/Application Support/qemusys/sys00_1-disk001.qcow2 -display none
501 11439 11430 0 7:22pm ttys000 0:00.00 grep qemu

Wat kan ik met deze info?

[mk997]

Ik krijg de melding "Permission denied" als ik de volgende code invoer: /Library/LaunchDaemons/com.modulesys.qemuservice.plist

[mk997]

Na wat geprobeer heb ik de oplossing gevonden:

1) In spotlight invoeren: /Library/Application Support/qemusys
2) Deze folder volledig verwijderen.

Naar mijn idee is het probleem nu opgelost. Het proces komt niet meer voor in de activiteitenweergave en de mac voelt niet meer warm aan .

Allen dank!

[WhatsappHack]

Mooi dat het zo opgelost is Inderdaad een brutale malwareboer hehe, kan de methode ergens wel waarderen, zeker als het verder niets aan je Mac aanpast*; dit is misschien juist ook zo gedaan omdat SIP wellicht roet in het eten gooit als ze te ver doorgaan.

De commando's die ik gaf waren inderdaad bedoeld voor de terminal, ik ging er iets te makkelijk vanuit dat dit geen verdere uitleg behoeft - excuses. In dit geval was het lsof commando ook niet nodig, omdat met de output van ps je inderdaad meteen al kon zien wat het aan het doen was en waar de virtuele machine stond (/Library/Application Support/qemusys/sys00_1-disk001.qcow2) Als dat niet het geval was geweest laat lsof zien welke bestanden in gebruik zijn door het proces en had je het dan alsnog gezien Nu was louter ps al genoeg om voldoende informatie te krijgen.

Top en hopelijk een wijze les geleerd dat je niet zomaar shit moet installeren...
En wellicht dat een virusscanner geen overbodige luxe is als je vaker uit onbekende bron wenst te installeren, al weet ik niet of die zoiets als dit had opgepikt.

_{* = En daar zou ik niet zomaar van uitgaan. Het zou natuurlijk mooi zijn als je met een foldertje verwijderen meteen malwarevrij bent, maar als ik jou was zou ik de Mac toch nog een keer heel grondig scannen op problemen met bijvoorbeeld ClamXAV (virusscanner) en KnockKnock (controleert o.a. kernel modules en start-up items en ramt die ff door VirusTotal heen.))}

[Voor 14% gewijzigd door WhatsappHack op 14-11-2018 10:57]

[rientsd]

Hetzelfde probleem. qemu-system-x86_64 vraagt 100% CPU, batterij snel leeg, Macbook hapert en loopt warm.

Na unhide files (shift-command-".") vond ik de folder HD>Library>Application Support>.Qemusys . Deze weggegooid. Idem HD>Library>LaunchDeamons>com.modulesys.qemuservice.plist .

qemu-system-x86_64 keert vooralsnog niet terug ...