O que é o XProtect no Mac e por que ele usa CPU
O XProtect é o antivírus embutido no macOS. A Apple o descreve como detecção e remoção de malware baseadas em assinaturas, e ele roda em todo Mac recente, sem ícone nem janela própria. Ver XProtect, xprotectd ou um processo com XProtectRemediator no nome no Monitor de Atividade é normal, e uma breve rajada de CPU geralmente significa que ele está verificando um app ou rodando uma verificação agendada. Deixe-o rodando.
O que ele faz e quando
O guia de proteção contra malware da Apple descreve três partes:
| Parte | O que faz |
|---|---|
| Detecção por assinaturas | Verifica os apps com assinaturas YARA que a Apple atualiza |
| Mecanismo de remediação | Remove infecções que conhece, usando atualizações da Apple, e continua verificando periodicamente |
| Mecanismo de comportamento | Detecta malware desconhecido pelo que ele faz, e esses dados melhoram as assinaturas |
A Apple diz que o XProtect procura conteúdo malicioso conhecido quando um app abre pela primeira vez, quando um app muda no sistema de arquivos e quando as assinaturas dele são atualizadas. Por padrão, o macOS procura essas atualizações todo dia, separadamente das atualizações do sistema. Então é esperado ver atividade depois de instalar ou atualizar um app, depois de uma atualização de assinaturas e de vez em quando sem nenhum app envolvido.
Quando encontra malware, a Apple diz que o XProtect o bloqueia, o move para a Lixeira e avisa você no Finder. Ele não tem uma janela onde você inicia uma verificação, porque não foi projetado assim.
Onde ele fica
O guia da Apple não dá caminhos. No Mac em que esta página foi verificada, as partes ficam aqui:
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
O XProtect.app guarda um programa XProtectRemediator… para cada família de malware que remove, com nomes como XProtectRemediatorAdload, e por isso o Monitor de Atividade pode mostrar um nome que você nunca viu. /Library/Apple tem a flag restricted, então a Proteção da Integridade do Sistema impede que seja alterada, mesmo com sudo.
Para conferir a versão instalada e o histórico de atualizações:
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
Se o comando xprotect não for encontrado no seu macOS, use a segunda linha, que existe há muito mais tempo.
Quando ele está usando CPU
Uma rajada depois de instalar ou abrir um app novo é o caso esperado. Dê alguns minutos a ele, ligado na tomada.
Se continuar alto:
- Abra o Monitor de Atividade, escolha Visualizar › Todos os Processos e ordene por % CPU. Anote o nome exato e se o uso é constante ou em picos.
- Confira se o arquivo é mesmo da Apple. Selecione o processo e clique no botão i, depois em Arquivos e Portas Abertos. O programa deve estar em um dos caminhos acima.
- Termine o que estava fazendo, reinicie e observe de novo por dez minutos. Reiniciar encerra uma verificação travada, e o macOS agenda a próxima por conta própria.
- Instale as atualizações do macOS pendentes, em Ajustes do Sistema › Geral › Atualização de Software.
- Se continuar rodando por horas na maioria dos dias, envie um feedback à Apple com o que você viu. Anote qual app você instalou por volta de quando começou, já que um app cujos arquivos mudam o tempo todo dá mais trabalho ao XProtect.
Uma lentidão que continua depois que o XProtect fica quieto tem outra causa, então veja uso alto de CPU no Mac para ler a lista de processos.
Ele basta sozinho
É proteção real contra malware conhecido, e trabalha junto com o Gatekeeper e a notarização. Mantenha Instalar Proteções Rápidas e arquivos do Sistema ligado, em Ajustes do Sistema › Geral › Atualização de Software › Atualizações Automáticas, já que é assim que chegam as atualizações de assinaturas. O que ele não é: um produto de segurança completo, sem histórico de verificações para ler, sem filtro de web e sem botão de verificação sob demanda. Querer um produto de terceiros por cima depende do que você faz e do que seu empregador exige. Se você vai remover um, como desinstalar um antivírus no Mac lista o que cada um deixa para trás.
O que não fazer
- Não tente apagá-lo nem desativá-lo. As pastas são protegidas, e os guias que contornam isso pedem para desligar a Proteção da Integridade do Sistema, o que custa muito mais do que um pico de CPU.
- Não force o encerramento dele várias vezes. Ele roda quando o macOS precisa, então o trabalho só é adiado.
- Não confie em um pop-up dizendo que o XProtect achou um vírus e oferecendo um número de telefone ou um download. O XProtect avisa no Finder e não pede nada.
- Não mantenha um app bloqueado trazendo-o de volta da Lixeira porque você reconhece o nome. Baixe-o de novo do desenvolvedor.
Onde o Mole entra
O Mole não é um antivírus: não procura malware e não tem uma linha para o XProtect em Limpar. O Status mostra esses processos quando estão entre as linhas mais ocupadas, com tudo o que roda de uma pasta de bundle de app reunido em uma linha, e Por que está em execução? em uma linha mostra o executável dela, então você confere o caminho sem Terminal. Se você está atrás de um processo em segundo plano desconhecido que não é o XProtect, o segmento Início de Apps lista os itens de inicialização de terceiros, que é onde o adware persistente costuma se instalar.
Perguntas frequentes
O XProtect é um vírus?
Não. É o antivírus da Apple, parte do macOS. Os programas dele ficam em locais protegidos do sistema, então um processo com esse nome rodando de qualquer outro lugar, como a sua pasta Downloads, merece desconfiança.
Posso desligar o XProtect?
Não nos Ajustes do Sistema. Deixe-o ligado: os únicos jeitos de contorná-lo enfraquecem a Proteção da Integridade do Sistema, que protege muito mais do que o XProtect.
Por que o XProtectRemediator está rodando?
É a parte que procura e remove, de forma agendada, malware conhecido específico. Ver um desses processos não significa que seu Mac está infectado, porque eles rodam por rotina e a maioria termina rápido.
Como confiro a versão do meu XProtect?
Rode xprotect version no Terminal, ou system_profiler SPInstallHistoryDataType | grep -A 4 XProtect para o histórico de atualizações.
O XProtect significa que não preciso de antivírus?
Para muita gente ele cobre bem o malware conhecido, junto com o Gatekeeper e a notarização. Ele não oferece relatórios de verificação nem verificações sob demanda, então uma regra do trabalho ou a necessidade disso é um motivo para adicionar outro produto.