Wat is XProtect op een Mac en waarom gebruikt het CPU

XProtect is de antivirus die in macOS is ingebouwd. Apple beschrijft het als detectie en verwijdering van malware op basis van signaturen, en het draait op elke recente Mac zonder eigen pictogram of venster. XProtect, xprotectd of een proces met XProtectRemediator in de naam in Activiteitenweergave is normaal, en een korte piek in CPU-gebruik betekent meestal dat het een app controleert of een geplande scan uitvoert. Laat het draaien.

Wat het doet en wanneer

Apples gids over bescherming tegen malware beschrijft drie onderdelen:

Apple zegt dat XProtect controleert op bekende kwaadaardige inhoud wanneer een app voor het eerst start, wanneer een app in het bestandssysteem verandert en wanneer de signaturen worden bijgewerkt. Standaard zoekt macOS dagelijks naar die updates, los van systeemupdates. Verwacht dus activiteit nadat je een app installeert of bijwerkt, na een signatuurupdate en af en toe zonder dat er een app bij betrokken is.

Als het malware vindt, blokkeert XProtect die volgens Apple, verplaatst het naar de prullenmand en waarschuwt het je in de Finder. Er is geen venster waar je zelf een scan start, omdat het zo niet is ontworpen.

Waar het staat

Apples gids noemt geen paden. Op de Mac waarop deze pagina is gecontroleerd staan de onderdelen hier:

/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle

XProtect.app bevat één XProtectRemediator…-programma per malwarefamilie die het verwijdert, met namen als XProtectRemediatorAdload, en daarom kan Activiteitenweergave een naam tonen die je nog nooit hebt gezien. /Library/Apple heeft de vlag restricted, dus System Integrity Protection voorkomt wijzigingen, zelfs met sudo.

Zo controleer je je geïnstalleerde versie en updategeschiedenis:

xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect

Als het commando xprotect op jouw macOS niet wordt gevonden, gebruik dan de tweede regel, die er al veel langer is.

Als het CPU gebruikt

Een piek na het installeren of openen van een nieuwe app is het verwachte geval. Geef het enkele minuten, aangesloten op stroom.

Blijft het hoog:

1. Open Activiteitenweergave, kies Weergave › Alle processen en sorteer op % CPU. Noteer de exacte naam en of het constant is of in pieken komt.
2. Controleer of het bestand echt van Apple is. Selecteer het proces en klik op de knop i, en dan op Geopende bestanden en poorten. Het programma hoort onder een van de paden hierboven te staan.
3. Rond af waar je mee bezig was, start opnieuw op en kijk tien minuten opnieuw. Een herstart beëindigt een vastgelopen scan, en macOS plant de volgende zelf in.
4. Installeer openstaande macOS-updates in Systeeminstellingen › Algemeen › Software-update.
5. Blijft het op de meeste dagen urenlang draaien, stuur dan feedback naar Apple met wat je zag. Noteer welke app je rond het begin hebt geïnstalleerd, want een app waarvan de bestanden blijven veranderen geeft XProtect meer om te controleren.

Blijft de Mac traag terwijl XProtect rustig is, dan ligt dat aan iets anders; zie hoog CPU-gebruik op de Mac over hoe je de lijst leest.

Is het alleen genoeg

Het is echte bescherming tegen bekende malware, naast Gatekeeper en notarisatie. Laat Installeer beveiligingsmaatregelen en systeembestanden aan staan, onder Systeeminstellingen › Algemeen › Software-update › Automatische updates, want zo komen signatuurupdates binnen. Wat het niet is, is een compleet beveiligingsproduct: er is geen scangeschiedenis om te lezen, geen webfiltering en geen knop voor een scan op aanvraag. Of je er een product van een derde partij bovenop wilt, hangt af van wat je doet en wat je werkgever eist. Als je er een verwijdert, laat antivirus verwijderen van een Mac zien wat elk achterlaat.

Wat je niet moet doen

• Probeer het niet te verwijderen of uit te zetten. De mappen zijn beschermd, en de handleidingen die dat omzeilen vragen je System Integrity Protection uit te zetten, wat veel meer kost dan een CPU-piek.
• Stop het niet telkens geforceerd. Het draait wanneer macOS het nodig heeft, dus het werk wordt alleen uitgesteld.
• Vertrouw geen pop-up die zegt dat XProtect een virus heeft gevonden en een telefoonnummer of download aanbiedt. XProtect waarschuwt in de Finder en vraagt nergens om.
• Bewaar een geblokkeerde app niet door hem uit de prullenmand terug te zetten omdat je de naam herkent. Download hem opnieuw bij de ontwikkelaar.

Waar Mole past

Mole is geen antivirus: het scant niet op malware en heeft geen rij voor XProtect in Opschonen. Status toont deze processen als ze bij zijn drukste rijen horen, waarbij alles dat uit één appbundelmap draait in één rij wordt samengevoegd, en Waarom draait dit? op een rij toont het uitvoerbare bestand, zodat je het pad kunt controleren zonder Terminal. Zoek je een onbekend achtergrondproces dat geen XProtect is, dan toont het segment Opstarten van Apps de startitems van derden, de plek waar hardnekkige adware zich meestal installeert.

Veelgestelde vragen

Is XProtect een virus?

Nee. Het is Apples antivirus, onderdeel van macOS. De programma's staan op beschermde systeemlocaties, dus een proces met die naam dat ergens anders draait, zoals in je map Downloads, verdient argwaan.

Kan ik XProtect uitzetten?

Niet in Systeeminstellingen. Laat het aan staan: de enige manieren eromheen verzwakken System Integrity Protection, dat veel meer beschermt dan XProtect.

Waarom draait XProtectRemediator?

Het is het onderdeel dat volgens schema zoekt naar specifieke bekende malware en die verwijdert. Een van die processen zien betekent niet dat je Mac is geïnfecteerd, want ze draaien routinematig en de meeste zijn snel klaar.

Hoe controleer ik mijn XProtect-versie?

Voer xprotect version uit in Terminal, of system_profiler SPInstallHistoryDataType | grep -A 4 XProtect voor de updategeschiedenis.

Betekent XProtect dat ik geen antivirus nodig heb?

Voor veel mensen dekt het bekende malware goed, samen met Gatekeeper en notarisatie. Het biedt geen scanrapporten of scans op aanvraag, dus een regel op het werk of de behoefte daaraan is een reden om een ander product toe te voegen.