Cos'è XProtect su Mac e perché usa la CPU
XProtect è l'antivirus integrato in macOS. Apple lo descrive come rilevamento e rimozione di malware basato su firme, e gira su ogni Mac recente senza un'icona né una finestra propria. Vedere XProtect, xprotectd o un processo con XProtectRemediator nel nome in Monitoraggio Attività è normale, e una breve ondata di CPU di solito significa che sta controllando un'app o eseguendo un'analisi pianificata. Lascialo in esecuzione.
Cosa fa e quando
La guida alla protezione dal malware di Apple descrive tre parti:
| Parte | Cosa fa |
|---|---|
| Rilevamento tramite firme | Controlla le app con firme YARA che Apple aggiorna |
| Motore di rimozione | Rimuove le infezioni che conosce, usando gli aggiornamenti di Apple, e continua a controllare periodicamente |
| Motore comportamentale | Rileva malware sconosciuto da ciò che fa, e quei dati migliorano le firme |
Apple dice che XProtect cerca contenuti dannosi noti quando un'app viene aperta la prima volta, quando un'app cambia nel file system e quando le sue firme si aggiornano. Per impostazione predefinita, macOS cerca quegli aggiornamenti ogni giorno, separatamente dagli aggiornamenti di sistema. Quindi puoi aspettarti attività dopo aver installato o aggiornato un'app, dopo un aggiornamento delle firme e ogni tanto senza nessuna app coinvolta.
Quando trova un malware, Apple dice che XProtect lo blocca, lo sposta nel Cestino e ti avvisa nel Finder. Non ha una finestra da cui avviare un'analisi, perché non è stato progettato così.
Dove si trova
La guida di Apple non indica percorsi. Sul Mac su cui è stata verificata questa pagina, le parti si trovano qui:
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
XProtect.app contiene un programma XProtectRemediator… per ogni famiglia di malware che rimuove, con nomi come XProtectRemediatorAdload, ed è per questo che Monitoraggio Attività può mostrare un nome che non hai mai visto. /Library/Apple ha il flag restricted, quindi la Protezione integrità del sistema ne impedisce la modifica, anche con sudo.
Per controllare la versione installata e la cronologia degli aggiornamenti:
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
Se il comando xprotect non viene trovato sul tuo macOS, usa la seconda riga, che esiste da molto più tempo.
Quando usa la CPU
Un'ondata dopo aver installato o aperto una nuova app è il caso previsto. Dagli qualche minuto con il Mac alimentato.
Se resta alto:
- Apri Monitoraggio Attività, scegli Vista › Tutti i processi e ordina per % CPU. Annota il nome esatto e se l'uso è costante o a picchi.
- Controlla che il file sia davvero di Apple. Seleziona il processo e fai clic sul pulsante i, poi su File e porte aperti. Il programma dovrebbe trovarsi in uno dei percorsi indicati sopra.
- Finisci quello che stavi facendo, riavvia e osserva di nuovo per dieci minuti. Un riavvio interrompe un'analisi bloccata, e macOS pianifica la successiva da solo.
- Installa gli aggiornamenti di macOS in attesa, in Impostazioni di Sistema › Generali › Aggiornamento Software.
- Se continua a girare per ore quasi ogni giorno, invia un feedback ad Apple con ciò che hai visto. Annota quale app hai installato più o meno quando è iniziato, perché un'app i cui file cambiano continuamente dà a XProtect più cose da controllare.
La lentezza che resta quando XProtect è tranquillo ha un'altra causa, quindi vedi l'uso elevato della CPU su Mac per capire come leggere l'elenco.
Basta da solo
È una protezione reale contro il malware noto, e affianca Gatekeeper e la notarizzazione. Tieni attivo Installa interventi di sicurezza e file di sistema, in Impostazioni di Sistema › Generali › Aggiornamento Software › Aggiornamenti automatici, perché è così che arrivano gli aggiornamenti delle firme. Non è però un prodotto di sicurezza completo: non c'è una cronologia delle analisi da leggere, né filtro web, né un pulsante per analizzare su richiesta. Aggiungere o meno un prodotto di terze parti dipende da ciò che fai e da ciò che richiede il tuo datore di lavoro. Se ne stai rimuovendo uno, come disinstallare un antivirus su Mac elenca cosa lascia dietro ciascuno.
Cosa non fare
- Non provare a eliminarlo o a disattivarlo. Le cartelle sono protette, e le guide che aggirano il problema ti chiedono di disattivare la Protezione integrità del sistema, che costa molto più di un picco di CPU.
- Non forzare l'uscita ancora e ancora. Gira quando macOS ne ha bisogno, quindi il lavoro viene solo rimandato.
- Non fidarti di un messaggio che dice che XProtect ha trovato un virus e offre un numero di telefono o un download. XProtect avvisa nel Finder e non chiede nulla.
- Non tenere un'app bloccata rimettendola a posto dal Cestino perché ne riconosci il nome. Scaricala di nuovo dallo sviluppatore.
Dove entra Mole
Mole non è un antivirus: non cerca malware e non ha una riga per XProtect in Pulizia. Stato mostra questi processi quando rientrano tra le sue righe più impegnate, con tutto ciò che gira dalla cartella di un'app raccolto in una sola riga, e Perché è in esecuzione? su una riga ne mostra l'eseguibile, così puoi controllare il percorso senza il Terminale. Se stai inseguendo un processo in background sconosciuto che non è XProtect, il segmento Avvio di App elenca gli elementi di avvio di terze parti, che è dove l'adware persistente tende a installarsi.
Domande frequenti
XProtect è un virus?
No. È l'antivirus di Apple, parte di macOS. I suoi programmi stanno in posizioni di sistema protette, quindi un processo con quel nome in esecuzione da qualsiasi altro posto, come la cartella Download, merita sospetto.
Posso disattivare XProtect?
Non da Impostazioni di Sistema. Lascialo attivo: gli unici modi per aggirarlo indeboliscono la Protezione integrità del sistema, che protegge molto più di XProtect.
Perché XProtectRemediator è in esecuzione?
È la parte che cerca e rimuove malware noti specifici, secondo una pianificazione. Vedere uno di quei processi non significa che il tuo Mac sia infetto, perché girano di routine e la maggior parte finisce in fretta.
Come controllo la versione di XProtect?
Esegui xprotect version nel Terminale, oppure system_profiler SPInstallHistoryDataType | grep -A 4 XProtect per la cronologia degli aggiornamenti.
XProtect significa che non mi serve un antivirus?
Per molte persone copre bene il malware noto, insieme a Gatekeeper e alla notarizzazione. Non offre rapporti di analisi né analisi su richiesta, quindi una regola sul posto di lavoro o il bisogno di queste funzioni è un motivo per aggiungere un altro prodotto.