Qu’est-ce que XProtect sur Mac et pourquoi utilise-t-il le processeur
XProtect est l’antivirus intégré à macOS. Apple le décrit comme une détection et une suppression de logiciels malveillants fondées sur des signatures ; il tourne sur tous les Mac récents sans icône ni fenêtre. Voir XProtect, xprotectd ou un processus dont le nom contient XProtectRemediator dans le Moniteur d’activité est normal, et un bref pic de processeur signifie en général qu’il vérifie une app ou lance une analyse planifiée. Laissez-le actif.
Ce qu’il fait et quand
Le guide de protection contre les logiciels malveillants d’Apple décrit trois parties :
| Partie | Ce qu’elle fait |
|---|---|
| Détection par signatures | Compare les apps à des signatures YARA qu’Apple met à jour |
| Moteur de remédiation | Supprime les infections qu’il connaît, grâce aux mises à jour d’Apple, et continue de vérifier périodiquement |
| Moteur de comportement | Détecte les logiciels malveillants inconnus d’après ce qu’ils font, et ces données améliorent les signatures |
Apple indique que XProtect recherche les contenus malveillants connus au premier lancement d’une app, quand une app change dans le système de fichiers et quand ses signatures sont mises à jour. Par défaut, macOS cherche ces mises à jour chaque jour, séparément des mises à jour du système. Il faut donc s’attendre à de l’activité après l’installation ou la mise à jour d’une app, après une mise à jour de signatures, et de temps en temps sans aucune app en cause.
Quand il trouve un logiciel malveillant, Apple indique que XProtect le bloque, le place dans la Corbeille et vous avertit dans le Finder. Il n’a pas de fenêtre pour lancer une analyse, car il n’a pas été conçu ainsi.
Où il se trouve
Le guide d’Apple ne donne aucun chemin. Sur le Mac où cette page a été vérifiée, les parties se trouvent ici :
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
XProtect.app contient un programme XProtectRemediator… par famille de logiciels malveillants qu’il supprime, avec des noms comme XProtectRemediatorAdload, ce qui explique que le Moniteur d’activité puisse afficher un nom que vous n’avez jamais vu. /Library/Apple porte l’indicateur restricted, de sorte que la protection de l’intégrité du système empêche de le modifier, même avec sudo.
Pour vérifier votre version installée et l’historique des mises à jour :
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
Si la commande xprotect est introuvable sur votre macOS, utilisez la seconde ligne, qui existe depuis bien plus longtemps.
Quand il utilise le processeur
Un pic après l’installation ou l’ouverture d’une nouvelle app est le cas attendu. Laissez-lui plusieurs minutes, sur secteur.
S’il reste élevé :
- Ouvrez le Moniteur d’activité, choisissez Présentation › Tous les processus et triez par % CPU. Notez le nom exact et si l’activité est constante ou en pics.
- Vérifiez que le fichier est bien celui d’Apple. Sélectionnez le processus et cliquez sur le bouton i, puis sur Fichiers et ports ouverts. Le programme doit se trouver sous l’un des chemins ci-dessus.
- Terminez ce que vous faisiez, redémarrez et observez de nouveau pendant dix minutes. Un redémarrage met fin à une analyse bloquée, et macOS planifie la suivante tout seul.
- Installez les mises à jour de macOS en attente, dans Réglages Système › Général › Mise à jour de logiciels.
- S’il continue de tourner pendant des heures la plupart des jours, envoyez un commentaire à Apple en décrivant ce que vous avez vu. Notez quelle app vous avez installée à peu près quand cela a commencé, car une app dont les fichiers changent sans cesse donne plus à vérifier à XProtect.
Une lenteur qui persiste quand XProtect est calme a une autre cause, voir l’utilisation élevée du processeur sur Mac pour savoir lire la liste.
Suffit-il à lui seul
C’est une vraie protection contre les logiciels malveillants connus, et il travaille avec Gatekeeper et la notarisation. Gardez Installer les mises à jour de sécurité et les fichiers système activé, sous Réglages Système › Général › Mise à jour de logiciels › Mises à jour automatiques, car c’est ainsi que les mises à jour de signatures arrivent. Ce n’est en revanche pas un produit de sécurité complet : pas d’historique d’analyses à lire, pas de filtrage web et pas de bouton d’analyse à la demande. Ajouter ou non un produit tiers dépend de ce que vous faites et de ce qu’exige votre employeur. Si vous en retirez un, comment désinstaller un antivirus sur Mac liste ce que chacun laisse derrière lui.
Ce qu’il ne faut pas faire
- N’essayez pas de le supprimer ni de le désactiver. Les dossiers sont protégés, et les guides qui contournent cela vous demandent de désactiver la protection de l’intégrité du système, ce qui coûte bien plus qu’un pic de processeur.
- Ne le forcez pas à quitter encore et encore. Il s’exécute quand macOS en a besoin, le travail est seulement reporté.
- Ne vous fiez pas à une fenêtre contextuelle disant que XProtect a trouvé un virus et proposant un numéro de téléphone ou un téléchargement. XProtect avertit dans le Finder et ne demande rien.
- Ne conservez pas une app bloquée en la remettant depuis la Corbeille parce que vous reconnaissez son nom. Téléchargez-la de nouveau depuis son développeur.
La place de Mole
Mole n’est pas un antivirus : il ne recherche pas de logiciels malveillants et n’a aucune ligne pour XProtect dans Nettoyer. État affiche ces processus quand ils figurent parmi ses lignes les plus actives, tout ce qui tourne depuis un même dossier d’app étant regroupé en une seule ligne, et Pourquoi tourne-t-il ? sur une ligne montre son exécutable, ce qui permet de vérifier le chemin sans Terminal. Si vous cherchez un processus d’arrière-plan inconnu qui n’est pas XProtect, le segment Démarrage de Apps liste les éléments de lancement tiers, là où les logiciels publicitaires persistants aiment s’installer.
FAQ
XProtect est-il un virus ?
Non. C’est l’antivirus d’Apple, intégré à macOS. Ses programmes se trouvent dans des emplacements système protégés, et un processus portant ce nom mais lancé ailleurs, par exemple depuis votre dossier Téléchargements, est suspect.
Puis-je désactiver XProtect ?
Pas dans Réglages Système. Laissez-le activé : les seuls moyens de le contourner affaiblissent la protection de l’intégrité du système, qui protège bien plus que XProtect.
Pourquoi XProtectRemediator est-il en cours d’exécution ?
C’est la partie qui recherche et supprime à intervalles réguliers des logiciels malveillants connus précis. Voir un de ces processus ne veut pas dire que votre Mac est infecté, car ils s’exécutent régulièrement et la plupart se terminent vite.
Comment vérifier ma version de XProtect ?
Exécutez xprotect version dans le Terminal, ou system_profiler SPInstallHistoryDataType | grep -A 4 XProtect pour l’historique des mises à jour.
XProtect signifie-t-il que je n’ai pas besoin d’antivirus ?
Pour beaucoup de gens, il couvre bien les logiciels malveillants connus, avec Gatekeeper et la notarisation. Il ne propose ni rapports d’analyse ni analyses à la demande, donc une règle professionnelle ou un besoin de ceux-ci justifie d’ajouter un autre produit.