Cómo investigar procesos de Mac que no conoces

Monitor de Actividad muestra apps, procesos auxiliares, agentes, daemons y servicios del sistema. Un nombre familiar o críptico es una evidencia débil: el software puede compartir nombres genéricos, y el malware puede copiar uno. Juzga un proceso por su propietario, la ruta del ejecutable, el padre, la firma de código, la tendencia de recursos y la acción que lo activó.

Elige Visualización > Todos los procesos para que la lista no se limite a tu cuenta. Añade columnas como Usuario, Tiempo de CPU, Subprocesos y Tipo. Haz doble clic en un proceso para inspeccionar su padre, los archivos y puertos abiertos, y las estadísticas recientes. La guía de Activity Monitor de Apple también ofrece vistas jerárquicas y de procesos del sistema. Sample Process captura lo que hacen sus hilos durante un periodo corto cuando parece bloqueado, sin terminarlo de inmediato.

Los que más preocupan a la gente

• kernel_task representa trabajo del kernel; un uso elevado puede incluir las medidas de macOS para limitar otros procesos y reducir el calor. Lo explica kernel_task y el uso alto de CPU.
• WindowServer dibuja tu pantalla; su carga sube con pantallas y ventanas, en WindowServer y el uso alto de CPU.
• mds, mds_stores, mdworker son Spotlight indexando tus archivos, en mds y mdworker: uso alto de CPU.
• Los procesos Google Chrome Helper son las pestañas y extensiones de Chrome, en Chrome Helper y el uso alto de CPU.

Los daemons en segundo plano que no iniciaste tú

Estos se ejecutan por su cuenta y casi siempre están bien:

• launchd es el primer proceso que arranca macOS y el padre de cada servicio. Siempre está en ejecución; ese es su trabajo.
• trustd comprueba certificados y firmas de apps cuando estas se lanzan o hacen conexiones seguras. Picos breves al abrir una app son normales.
• nsurlsessiond gestiona transferencias de red en segundo plano: iCloud, descargas de apps, actualizaciones. Se dispara mientras algo se sincroniza o descarga, y luego se calma.
• cloudd y bird ejecutan la sincronización de iCloud. Trabajan mucho justo después de iniciar sesión o de añadir muchos archivos a iCloud, y luego se aquietan.
• coreaudiod es el motor de audio del sistema. Debería ser ligero; un CPU alto sostenido a veces apunta a una app de audio o un plug-in que se porta mal.
• photoanalysisd analiza el contenido de las fotos para funciones como personas y objetos. El sistema elige cuándo ejecutarlo según la alimentación, el estado térmico y el trabajo de la biblioteca.
• backupd es Time Machine ejecutando una copia de seguridad. Es normal que esté ocupado mientras una copia está en curso.
• syspolicyd ayuda a aplicar las políticas de seguridad del sistema, incluida la evaluación de apps. Un pico durante la instalación o el primer lanzamiento de una app tiene contexto; un trabajo sostenido y no relacionado sigue mereciendo medición.

Normal frente a atascado es un patrón, no un temporizador

Busca correlación y progreso. Un proceso que sube después de abrir una app, conectar un disco o iniciar la sincronización, y luego avanza en el trabajo y se asienta, se comporta de forma plausible. Un CPU sostenido sin progreso, memoria que crece con rapidez, fallos repetidos o un pico que empieza tras el mismo disparador merecen investigación. Compara una muestra, la actividad de archivos abiertos y los registros antes de forzar el cierre. Muchos servicios del sistema se relanzan porque la app que los solicita o la política de arranque aún los necesita.

Para software de terceros, verifica que la ruta del ejecutable esté dentro de la app esperada o de la ubicación de soporte del proveedor, y que su firma pertenezca a ese proveedor. Para servicios de Apple, cambiar o borrar la configuración de arranque rara vez es la solución; identifica el cliente, el conjunto de archivos, el dispositivo o la operación de red que alimenta el servicio.

Demuestra el propietario antes de terminar

El inspector de Monitor de Actividad es la vía más sencilla. En Terminal empieza por el PID y no por el nombre mostrado:

PID=1234
ps -p "$PID" -o pid=,ppid=,user=,etime=,comm=
lsof -p "$PID" | head

El padre y la ruta relacionan un helper genérico con la app que lo lanzó. Los archivos abiertos muestran el proyecto, biblioteca, dispositivo o base que alimenta el trabajo. Si la ruta es de terceros, revisa la firma sin modificar nada:

codesign -dv --verbose=4 "/path/to/the/binary" 2>&1

Un nombre familiar con ruta o firmante inesperado merece investigación. Un nombre desconocido dentro de una ubicación de sistema Apple firmada no es sospechoso por ser nuevo. Cierra primero la app propietaria y comprueba si el helper se calma o sale antes de forzar el proceso hijo.

Bajo el capó: launchd y servicios bajo demanda

La razón de que haya tantos daemons es launchd, el primer proceso que arranca macOS (PID 1) y el padre de todo lo demás. La mayoría de esos procesos en segundo plano no están en ejecución de forma constante: launchd los registra y los inicia bajo demanda cuando ocurre un evento coincidente, una conexión segura que necesita trustd, un archivo entregado a un importador, un mensaje XPC de una app, y luego los deja volver al reposo. Por eso la lista cambia mientras trabajas, y por eso forzar el cierre de uno a menudo no sirve de nada: launchd lo relanza la próxima vez que se dispara su activador. Esto reformula toda la lista. No estás mirando programas que alguien eligió ejecutar, sino un conjunto de servicios pequeños que el sistema arranca y detiene según llega el trabajo, que es exactamente por qué el comportamiento a lo largo del tiempo, y no la mera presencia, es la señal de que algo va mal.

Dónde ayuda una capa de explicación

Monitor de Actividad permite consultar los procesos y sus detalles. La vista Status de Mole puede añadir contexto en lenguaje claro y tendencias, pero una explicación basada en un nombre es solo una hipótesis de partida. La ruta, el propietario, la firma y el comportamiento deciden si el proceso actual es el esperado.

Una comprobación de procesos repetible

Anota el nombre del proceso, el usuario, la ruta, el padre, la firma, la tendencia de CPU y memoria, los archivos abiertos y el disparador. Toma una muestra mientras ocurre el problema, y luego detén la app o la entrada que lo solicita antes de tocar el daemon. Este método distingue el trabajo normal en segundo plano, un helper de proveedor atascado y un nombre impersonado mucho mejor que una lista de definiciones de procesos por sí sola.