Was ist XProtect auf dem Mac und warum verbraucht es CPU
XProtect ist der in macOS eingebaute Virenschutz. Apple beschreibt es als signaturbasierte Erkennung und Entfernung von Malware, und es läuft auf jedem aktuellen Mac ohne eigenes Symbol oder Fenster. Dass XProtect, xprotectd oder ein Prozess mit XProtectRemediator im Namen in der Aktivitätsanzeige steht, ist normal, und eine kurze CPU-Spitze bedeutet meist, dass es gerade eine App prüft oder einen geplanten Scan ausführt. Lassen Sie es laufen.
Was es tut und wann
Apples Leitfaden zum Malware-Schutz beschreibt drei Teile:
| Teil | Was er tut |
|---|---|
| Signaturerkennung | Prüft Apps anhand von YARA-Signaturen, die Apple aktualisiert |
| Remediation-Engine | Entfernt bekannte Infektionen mithilfe von Updates von Apple und prüft regelmäßig weiter |
| Verhaltens-Engine | Erkennt unbekannte Malware an dem, was sie tut, und diese Daten verbessern die Signaturen |
Laut Apple prüft XProtect auf bekannte schädliche Inhalte, wenn eine App zum ersten Mal startet, wenn sich eine App im Dateisystem ändert und wenn seine Signaturen aktualisiert werden. Standardmäßig sucht macOS täglich nach diesen Updates, getrennt von Systemupdates. Aktivität ist also zu erwarten nach der Installation oder Aktualisierung einer App, nach einem Signatur-Update und gelegentlich ohne jede App im Spiel.
Findet es Malware, blockiert XProtect sie laut Apple, legt sie in den Papierkorb und warnt Sie im Finder. Es hat kein Fenster, in dem Sie einen Scan starten, denn so wurde es nicht entworfen.
Wo es liegt
Apples Leitfaden nennt keine Pfade. Auf dem Mac, auf dem diese Seite geprüft wurde, liegen die Teile hier:
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
XProtect.app enthält pro Malware-Familie, die es entfernt, ein Programm XProtectRemediator… mit Namen wie XProtectRemediatorAdload, weshalb die Aktivitätsanzeige einen Namen zeigen kann, den Sie nie gesehen haben. /Library/Apple trägt das Flag restricted, daher verhindert der Systemintegritätsschutz Änderungen, auch mit sudo.
So prüfen Sie Ihre installierte Version und den Update-Verlauf:
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
Wird der Befehl xprotect auf Ihrem macOS nicht gefunden, nutzen Sie die zweite Zeile, die es schon viel länger gibt.
Wenn es CPU verbraucht
Eine Spitze nach der Installation oder dem Öffnen einer neuen App ist der erwartete Fall. Geben Sie ihm am Netzteil einige Minuten.
Bleibt die Last hoch:
- Öffnen Sie die Aktivitätsanzeige, wählen Sie Darstellung › Alle Prozesse und sortieren Sie nach % CPU. Notieren Sie den genauen Namen und ob die Last gleichmäßig oder sprunghaft ist.
- Prüfen Sie, ob die Datei wirklich von Apple stammt. Wählen Sie den Prozess aus und klicken Sie auf die Schaltfläche i, dann auf Offene Dateien und Ports. Das Programm sollte unter einem der obigen Pfade liegen.
- Beenden Sie, was Sie gerade tun, starten Sie neu und beobachten Sie zehn Minuten lang erneut. Ein Neustart beendet einen hängenden Scan, und macOS plant den nächsten selbst.
- Installieren Sie ausstehende macOS-Updates unter Systemeinstellungen › Allgemein › Softwareupdate.
- Läuft es an den meisten Tagen stundenlang weiter, senden Sie Apple Feedback mit dem, was Sie gesehen haben. Notieren Sie, welche App Sie ungefähr zu der Zeit installiert haben, als es begann, denn eine App, deren Dateien sich ständig ändern, gibt XProtect mehr zu prüfen.
Bleibt die Langsamkeit, obwohl XProtect ruhig ist, hat sie eine andere Ursache; in hohe CPU-Auslastung auf dem Mac lesen Sie, wie Sie die Liste deuten.
Reicht es allein
Es ist echter Schutz vor bekannter Malware und steht neben Gatekeeper und Notarisierung. Lassen Sie Sicherheitsmaßnahmen und Systemdateien installieren unter Systemeinstellungen › Allgemein › Softwareupdate › Automatische Updates eingeschaltet, denn auf diesem Weg kommen die Signatur-Updates an. Ein vollständiges Sicherheitsprodukt ist es nicht: Es gibt keinen Scan-Verlauf zum Nachlesen, keine Webfilterung und keine Schaltfläche für einen Scan auf Abruf. Ob Sie zusätzlich ein Produkt eines Drittanbieters wollen, hängt davon ab, was Sie tun und was Ihr Arbeitgeber verlangt. Wenn Sie eines entfernen, listet So deinstallieren Sie ein Antivirenprogramm auf dem Mac auf, was jedes zurücklässt.
Was Sie nicht tun sollten
- Versuchen Sie nicht, es zu löschen oder auszuschalten. Die Ordner sind geschützt, und die Anleitungen, die das umgehen, verlangen, den Systemintegritätsschutz auszuschalten, was weit mehr kostet als eine CPU-Spitze.
- Erzwingen Sie sein Beenden nicht immer wieder. Es läuft, wenn macOS es braucht, die Arbeit wird also nur verschoben.
- Vertrauen Sie keinem Pop-up, das behauptet, XProtect habe einen Virus gefunden, und eine Telefonnummer oder einen Download anbietet. XProtect warnt im Finder und verlangt nichts.
- Behalten Sie eine blockierte App nicht, indem Sie sie aus dem Papierkorb zurücklegen, weil Sie ihren Namen kennen. Laden Sie sie stattdessen erneut von ihrem Entwickler herunter.
Wo Mole ins Spiel kommt
Mole ist kein Virenschutz: Es sucht nicht nach Malware und hat in Bereinigen keine Zeile für XProtect. Status zeigt diese Prozesse, wenn sie zu seinen aktivsten Zeilen gehören, wobei alles, was aus einem App-Bundle-Ordner läuft, in einer Zeile zusammengefasst wird, und Warum läuft das? bei einer Zeile zeigt ihre ausführbare Datei, sodass Sie den Pfad ohne Terminal prüfen können. Wenn Sie einem unbekannten Hintergrundprozess nachgehen, der nicht XProtect ist, listet das Segment Start in Apps Startobjekte von Drittanbietern auf, und dort installiert sich hartnäckige Adware gern.
Häufige Fragen
Ist XProtect ein Virus?
Nein. Es ist Apples Virenschutz und Teil von macOS. Seine Programme liegen an geschützten Systemorten, ein Prozess mit diesem Namen, der von irgendwo anders läuft, etwa aus Ihrem Ordner „Downloads“, ist daher verdächtig.
Kann ich XProtect ausschalten?
Nicht in den Systemeinstellungen. Lassen Sie es an: Die einzigen Wege daran vorbei schwächen den Systemintegritätsschutz, der weit mehr schützt als XProtect.
Warum läuft XProtectRemediator?
Es ist der Teil, der nach Zeitplan nach bestimmter bekannter Malware sucht und sie entfernt. Dass einer dieser Prozesse läuft, bedeutet nicht, dass Ihr Mac infiziert ist, denn sie laufen routinemäßig, und die meisten sind schnell fertig.
Wie prüfe ich meine XProtect-Version?
Führen Sie xprotect version im Terminal aus, oder system_profiler SPInstallHistoryDataType | grep -A 4 XProtect für den Update-Verlauf.
Heißt XProtect, dass ich keinen Virenschutz brauche?
Für viele deckt es bekannte Malware zusammen mit Gatekeeper und Notarisierung gut ab. Es bietet weder Scan-Berichte noch Scans auf Abruf, eine Vorgabe am Arbeitsplatz oder der Bedarf an diesen ist also ein Grund, ein weiteres Produkt hinzuzufügen.