Qué es XProtect en Mac y por qué usa CPU
XProtect es el antivirus integrado en macOS. Apple lo describe como detección y eliminación de malware basadas en firmas, y se ejecuta en todos los Mac recientes sin icono ni ventana propios. Ver XProtect, xprotectd o un proceso con XProtectRemediator en el nombre en Monitor de Actividad es normal, y un breve pico de CPU suele significar que está comprobando una app o ejecutando un análisis programado. Déjalo en marcha.
Qué hace y cuándo
La guía de protección contra malware de Apple describe tres partes:
| Parte | Qué hace |
|---|---|
| Detección por firmas | Comprueba las apps con firmas YARA que Apple actualiza |
| Motor de corrección | Elimina las infecciones que conoce, con actualizaciones de Apple, y sigue comprobando de forma periódica |
| Motor de comportamiento | Detecta malware desconocido por lo que hace, y esos datos mejoran las firmas |
Apple dice que XProtect busca contenido malicioso conocido cuando una app se abre por primera vez, cuando una app cambia en el sistema de archivos y cuando se actualizan sus firmas. De forma predeterminada, macOS busca esas actualizaciones a diario, por separado de las actualizaciones del sistema. Así que es de esperar actividad tras instalar o actualizar una app, tras una actualización de firmas, y de vez en cuando sin ninguna app implicada.
Cuando encuentra malware, Apple dice que XProtect lo bloquea, lo mueve a la Papelera y te avisa en el Finder. No tiene ninguna ventana desde la que iniciar un análisis, porque no se diseñó así.
Dónde vive
La guía de Apple no da rutas. En el Mac donde se comprobó esta página, las partes están aquí:
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
XProtect.app contiene un programa XProtectRemediator… por cada familia de malware que elimina, con nombres como XProtectRemediatorAdload, y por eso Monitor de Actividad puede mostrar un nombre que nunca habías visto. /Library/Apple lleva el indicador restricted, así que la Protección de integridad del sistema impide que se modifique, incluso con sudo.
Para comprobar la versión instalada y el historial de actualizaciones:
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
Si el comando xprotect no se encuentra en tu macOS, usa la segunda línea, que existe desde hace mucho más tiempo.
Cuando usa CPU
Un pico tras instalar o abrir una app nueva es el caso esperado. Dale varios minutos conectado a la corriente.
Si sigue alto:
- Abre Monitor de Actividad, elige Visualización › Todos los procesos y ordena por % CPU. Anota el nombre exacto y si es constante o con picos.
- Comprueba que el archivo es realmente de Apple. Selecciona el proceso y haz clic en el botón i, y luego en Abrir archivos y puertos. El programa debería estar en una de las rutas de arriba.
- Termina lo que estabas haciendo, reinicia y vuelve a observar durante diez minutos. Un reinicio acaba con un análisis atascado, y macOS programa el siguiente por su cuenta.
- Instala las actualizaciones de macOS pendientes, en Ajustes del Sistema › General › Actualización de software.
- Si sigue ejecutándose durante horas la mayoría de los días, envía comentarios a Apple con lo que viste. Anota qué app instalaste cuando empezó, ya que una app cuyos archivos cambian sin parar le da más trabajo a XProtect.
Si la lentitud persiste cuando XProtect está tranquilo, la causa es otra, así que consulta uso alto de CPU en el Mac para saber cómo leer la lista.
¿Es suficiente por sí solo?
Es protección real contra el malware conocido, y funciona junto con Gatekeeper y la notarización. Mantén activada la opción Instalar respuestas de seguridad y archivos del sistema, en Ajustes del Sistema › General › Actualización de software › Actualizaciones automáticas, ya que así llegan las actualizaciones de firmas. Lo que no es es un producto de seguridad completo: no hay historial de análisis que leer, ni filtrado web, ni botón de análisis bajo demanda. Que quieras un producto de terceros además depende de lo que hagas y de lo que exija tu empresa. Si vas a quitar uno, cómo desinstalar un antivirus en el Mac enumera lo que deja cada uno.
Qué no hacer
- No intentes borrarlo ni desactivarlo. Las carpetas están protegidas, y las guías que lo evitan te piden desactivar la Protección de integridad del sistema, lo que cuesta mucho más que un pico de CPU.
- No lo fuerces a salir una y otra vez. Se ejecuta cuando macOS lo necesita, así que el trabajo solo se aplaza.
- No te fíes de una ventana emergente que diga que XProtect encontró un virus y ofrezca un número de teléfono o una descarga. XProtect avisa en el Finder y no pide nada.
- No conserves una app bloqueada devolviéndola desde la Papelera porque reconozcas su nombre. Descárgala otra vez de su desarrollador.
Dónde encaja Mole
Mole no es un antivirus: no busca malware y no tiene ninguna fila para XProtect en Limpiar. Estado muestra estos procesos cuando figuran entre sus filas más activas, con todo lo que se ejecuta desde la carpeta de una misma app agrupado en una fila, y ¿Por qué se ejecuta? en una fila muestra su ejecutable, así que puedes comprobar la ruta sin Terminal. Si persigues un proceso en segundo plano desconocido que no es XProtect, el segmento Inicio de Apps lista los elementos de inicio de terceros, que es donde suele instalarse el adware persistente.
Preguntas frecuentes
¿Es XProtect un virus?
No. Es el antivirus de Apple, parte de macOS. Sus programas viven en ubicaciones protegidas del sistema, así que un proceso con ese nombre que se ejecute desde cualquier otro sitio, como tu carpeta Descargas, merece sospecha.
¿Puedo desactivar XProtect?
No en Ajustes del Sistema. Déjalo activado: las únicas formas de esquivarlo debilitan la Protección de integridad del sistema, que protege mucho más que XProtect.
¿Por qué se está ejecutando XProtectRemediator?
Es la parte que busca y elimina malware conocido concreto de forma programada. Ver uno de esos procesos no significa que tu Mac esté infectado, porque se ejecutan de forma rutinaria y la mayoría termina rápido.
¿Cómo compruebo mi versión de XProtect?
Ejecuta xprotect version en Terminal, o system_profiler SPInstallHistoryDataType | grep -A 4 XProtect para ver el historial de actualizaciones.
¿Significa XProtect que no necesito antivirus?
Para muchas personas cubre bien el malware conocido, junto con Gatekeeper y la notarización. No ofrece informes de análisis ni análisis bajo demanda, así que una norma del trabajo o la necesidad de esas funciones es un motivo para añadir otro producto.