Mi Safari 8 fue secuestrado por Open-Search.com después de actualizar el sistema operativo a Yosemite (10.10). El efecto fue doble, mi página de inicio fue secuestrada por Open-Search/MacKeeper y la CPU comenzó a cargar spikes a intervalos regulares.
Después de mucha investigación, eliminé los recursos para Open-Search/MacKeeper poniendo fin al secuestro. Sin embargo, distnoted, SubPubAgent y nsurlstoraged aparecen en el Monitor de Actividad y arrojan la siguiente entrada de registro en el archivo de registro de mensajes.
11/3/14 12:58:35.657 PM nsurlstoraged[233]: DiskCookieStorage cambió la política de 2 a 0, archivo de cookies: ///Users//Library/Cookies/Cookies.binarycookies
11/3/14 12:58:35.658 PM nsurlstoraged[233]: DiskCookieStorage cambió la política de 0 a 2, archivo de cookies: ///Users//Library/Cookies/Cookies.binarycookies
Esta entrada se repite unas 4000 veces (en serio) sobrecargando la CPU más del 300% y activando el ventilador. Una vez que cierro Safari, el proceso termina y todo funciona como se espera.
Seguí esta respuesta publicada en noviembre pasado pero es específica para emacs: http://apple.stackexchange.com/questions/111197/runaway-distnoted-process
.
Al agregar el archivo /var/log/do_dnserver_log
parece haber MINIMIZADO el problema pero no lo ha solucionado. La CPU sigue sobrecargándose y los procesos mencionados anteriormente se generan intermitentemente.
Cualquier pensamiento sería muy apreciado.
Pensé que podría ser útil publicar la entrada completa del registro después de iniciar Safari.
11/3/14 3:28:46.598 PM nsurlstoraged[232]: DiskCookieStorage cambió la política de 0 a 2, archivo de cookies: file:///Users/username/Library/Cookies/Cookies.binarycookies
11/3/14 3:28:46.613 PM storeaccountd[285]: AccountServiceDelegate: Aceptando nueva conexión conexión desde pid 538 con interfaz (PID 538)
11/3/14 3:28:46.728 PM com.apple.xpc.launchd[1]: (com.apple.imfoundation.IMRemoteURLConnectionAgent) La clave _DirtyJetsamMemoryLimit no está disponible en esta plataforma.
11/3/14 3:28:46.765 PM com.apple.xpc.launchd[1]: (com.apple.imfoundation.IMRemoteURLConnectionAgent) La clave _DirtyJetsamMemoryLimit no está disponible en esta plataforma.
11/3/14 3:28:46.927 PM locationd[55]: No se pudo encontrar una cadena de requisitos para el cliente de enmascaramiento /System/Library/PrivateFrameworks/Parsec.framework
11/3/14 3:28:46.928 PM locationd[55]: no se pudo obtener una matriz de idiomas de Apple, asumiendo inglés
11/3/14 3:28:46.930 PM com.apple.xpc.launchd[1]: (com.apple.imfoundation.IMRemoteURLConnectionAgent) La clave _DirtyJetsamMemoryLimit no está disponible en esta plataforma.
11/3/14 3:21:19.295 PM com.apple.xpc.launchd[1]: (com.apple.PubSub.Agent[503]) Se ha activado el punto final a través de las API de lanzamiento heredadas. Cambie a XPC o bootstrap_check_in(): com.apple.pubsub.ipc
11/3/14 3:21:19.295 PM com.apple.xpc.launchd[1]: (com.apple.PubSub.Agent[503]) Se ha activado el punto final a través de las API de lanzamiento heredadas. Cambie a XPC o bootstrap_check_in(): com.apple.pubsub.notification
11/3/14 3:21:56.010 PM CoreServicesUIAgent[240]: mensaje inesperado { count = 1, contents = "XPCErrorDescription" => { length = 18, contents = "Conexión no válida" }}>
11/3/14 3:22:29.019 PM nsurlstoraged[232]: DiskCookieStorage cambió la política de 0 a 2, archivo de cookies: file:///Users/username/Library/Cookies/Cookies.binarycookies
11/3/14 3:22:29.020 PM nsurlstoraged[232]: DiskCookieStorage cambió la política de 2 a 0, archivo de cookies: file:///Users/username/Library/Cookies/Cookies.binarycookies
La última entrada se repite 4000 veces
espero que eso ayude.
ejecuté ps auxw > pbefore.txt
luego nuevamente en el pico ps auxw > pspike.txt
luego ejecuté diff pbefore.txt pspike.txt
las siguientes fueron las diferencias:
> root 31 0.0 0.0 2518116 7808 ?? SNs 2:01PM 0:00.16 /usr/libexec/warmd
> username 721 0.0 0.4 3797960 60316 ?? Ss 5:06PM 0:02.11 /System/Library/Frameworks/WebKit.framework/Versions/A/XPCServices/com.apple.WebKit.WebContent.xpc/Contents/MacOS/com.apple.WebKit.WebContent
> username 720 0.0 0.2 3613208 26316 ?? Ss 5:06PM 0:00.10 /System/Library/Frameworks/WebKit.framework/Versions/A/XPCServices/com.apple.WebKit.WebContent.xpc/Contents/MacOS/com.apple.WebKit.WebContent
> username 717 0.0 0.1 3590548 15744 ?? Ss 5:06PM 0:00.20 /System/Library/Frameworks/WebKit.framework/Versions/A/XPCServices/com.apple.WebKit.Networking.xpc/Contents/MacOS/com.apple.WebKit.Networking
> username 710 0.0 0.0 2514028 6748 ?? S 5:05PM 0:00.09 /usr/libexec/webinspectord
> username 709 0.0 0.0 2521108 7636 ?? S 5:05PM 0:00.05 /System/Library/PrivateFrameworks/AOSKit.framework/Versions/A/XPCServices/com.apple.iCloudHelper.xpc/Contents/MacOS/com.apple.iCloudHelper
> username 708 0.0 0.1 2537796 15316 ?? S 5:05PM 0:00.22 /System/Library/PrivateFrameworks/SyncedDefaults.framework/Support/syncdefaultsd
0 votos
¿Has probado
rm -f ~/Library/Cookies/Cookies.binarycookies
, así como limpiar/restablecer los datos de cookies de Safari (desde la GUI)?0 votos
Hola Chris, lo intenté, pero volví a intentarlo de nuevo. Sin éxito. Todavía subiendo. Pero gracias por la idea.
0 votos
Está bien. Para seguir avanzando en la línea de diagnóstico, ¿te importaría comprobar: 1) la lista de extensiones de Safari (
Safari -> Safari Extensions
). 2) en Terminal.app, si puedes ejecutarps auxw
antes de abrir Safari, luego después (durante el estado en el que tu CPU está aumentando), ydiff
eso, eso podría darte algunas pistas.1 votos
Sí, creo que el secuestro se originó con la extensión de duckduckgo. Se eliminaron todas las extensiones.
1 votos
Está bien, parece que
ps
no muestra culpables evidentes. Seguiré investigando - te comentaré una vez que tenga más ideas.0 votos
Está bien, ¿puedes ir al Monitor de Actividad, ubicar los procesos problemáticos, hacer clic en
(i)
(info - esquina superior izquierda) y anotar cuál es el "Proceso Padre" para ellos, por favor?0 votos
Okay, esto es extraño. Ahora no estoy recibiendo el pico de la CPU. Y lo único diferente fue eliminar el archivo Cookies.binarycookies, luego apagué completamente y reinicié. Si conviertes eso en una respuesta, ¡la aceptaré! Gracias por toda tu ayuda Chris.
0 votos
El dispositivo tenía la cuenta de mi hijo en una computadora y cuando inicié sesión como yo mismo, vi lo mismo. Página de inicio configurada en search-only.com. Parece una vulnerabilidad de lanzamiento de Safari.
0 votos
Andrew, Pondré mi respuesta en la sección de respuestas. Pude limpiar el malware, tomó alrededor de una hora.