Die Scanfunktion und der Online-Scanner OnGuard durchsuchen keine .sit- und .dmg-Archive.
Auswirkungen:
Schadsoftware kann ohne Erkennung durch den Virenscanner aus dem Internet heruntergeladen oder von einem USB-Stick kopiert werden.
In .sit-Archiven enthaltene Schadsoftware wird beim manuellen Entpacken des Archivs von OnGuard erkannt. Schadsoftware in Diskimages wird nur beim gezielten Scan des gemounteten Diskimages erkannt.
In Diskimages enthaltene Schadprogramme können nach dem Mounten problemlos gestartet werden, erst beim Kopieren auf die Festplatte schlägt OnGuard Alarm (getested mit MacSmurf, das von iAntiVirus als 'Hacktool.OSX.MacSmurf' erkannt wird).
Die Scanfunktion, OnGuard und die Quarantäneverwaltung kommen bei Verzeichnisnamen mit bestimmten Sonderzeichen darin, z.B. einem "ƒ", aus dem Tritt: Gescannt werden die Verzeichnisse gar nicht, reinkopierte Dateien werden von OnGuard nicht erkannt. Packt man in so einem Verzeichnis ein Archiv z.B. mit den EICAR-Testdateien aus, wird der Schädling zwar von OnGuard erkannt, kann aber weder aus der Quarantäne zurück ins Verzeichnis gelegt noch gelöscht werden.
Auswirkungen:
False Positives sind unwiederbringlich verloren, evtl. lässt sich so auch Schadsoftware an iAntiVirus vorbeischleusen.
Alle in Quarantäne gesteckten Dateien werden im gleichen Bereich verwaltet. Jeder Benutzer kann die Quarantäne-Dateien der anderen Benutzer, einschließlich des Admins, zurücklegen oder löschen.
Auswirkungen:
Ein normaler Benutzer kann Schadsoftware anderer Benutzer aus der Quarantäne entlassen (getestet mit dem iWorks-Trojaner, der vom Admin installiert und in Quarantäne gesteckt und vom normalen Benutzer zurückgelegt wurde).
Hinzu kommt, dass das Logfile der History-Funktion keine Informationen über den Benutzer enthält, der eine Aktion ausgelöst hat, und auch von jedem Benutzer gelöscht werden kann.
Sind mehrere Benutzer angemeldet, ist weder auf OnGuard noch auf die Anzeige Verlass.
Ein Beispiel: Der Admin ist angemeldet, "Protect my Mac" ist eingeschaltet, wird dem Administrator auch so angezeigt und gibt auch eine Meldung aus, wenn eine Datei in die Quarantäne verschoben wird. Jetzt meldet sich (bei aktiviertem 'schnellen Benutzerwechsel') ein anderer Benutzer an und kopiert eine Virendatei auf den Rechner. Die Dateien verschwinden sofort, es gibt keine Fehlermeldung. OnGuard funktioniert in diesem Fall und schiebt die Dateien in den Quarantäne-Ordner, gibt aber keine Warnung aus. Laut Anzeige ist es für diesen Benutzer auch ausgeschaltet.
Diese Richtung scheint immer zu funktionieren, machmal funktionierte das auch umgekehrt, d.h. ein normaler Benutzer war angemeldet, dort war OnGuard aktiv, und beim danach angemeldeten Admin verschwanden die Dateien kommentarlos in der Quarantäne.
Wird von einem normalen Benutzer ein normaler Scan gestartet, werden das System-, Library- und Programmverzeichnis und die Verzeichnisse aller Benutzer einschließlich des Administrators durchsucht.
