# O que é o XProtect no Mac e por que ele usa CPU

> O XProtect é o antivírus embutido da Apple. Quando ele roda, onde fica, como ver a versão, o que fazer se continuar ocupado e por que você deve deixá-lo ligado.

Published: 2026-11-06 | Updated: 2026-11-09

O XProtect é o antivírus embutido no macOS. A Apple o descreve como detecção e remoção de malware baseadas em assinaturas, e ele roda em todo Mac recente, sem ícone nem janela própria. Ver `XProtect`, `xprotectd` ou um processo com `XProtectRemediator` no nome no Monitor de Atividade é normal, e uma breve rajada de CPU geralmente significa que ele está verificando um app ou rodando uma verificação agendada. Deixe-o rodando.

## O que ele faz e quando

O [guia de proteção contra malware](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web) da Apple descreve três partes:

| Parte | O que faz |
| --- | --- |
| Detecção por assinaturas | Verifica os apps com assinaturas YARA que a Apple atualiza |
| Mecanismo de remediação | Remove infecções que conhece, usando atualizações da Apple, e continua verificando periodicamente |
| Mecanismo de comportamento | Detecta malware desconhecido pelo que ele faz, e esses dados melhoram as assinaturas |

A Apple diz que o XProtect procura conteúdo malicioso conhecido quando um app abre pela primeira vez, quando um app muda no sistema de arquivos e quando as assinaturas dele são atualizadas. Por padrão, o macOS procura essas atualizações todo dia, separadamente das atualizações do sistema. Então é esperado ver atividade depois de instalar ou atualizar um app, depois de uma atualização de assinaturas e de vez em quando sem nenhum app envolvido.

Quando encontra malware, a Apple diz que o XProtect o bloqueia, o move para a Lixeira e avisa você no Finder. Ele não tem uma janela onde você inicia uma verificação, porque não foi projetado assim.

## Onde ele fica

O guia da Apple não dá caminhos. No Mac em que esta página foi verificada, as partes ficam aqui:

```text
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
```

O `XProtect.app` guarda um programa `XProtectRemediator…` para cada família de malware que remove, com nomes como `XProtectRemediatorAdload`, e por isso o Monitor de Atividade pode mostrar um nome que você nunca viu. `/Library/Apple` tem a flag `restricted`, então a Proteção da Integridade do Sistema impede que seja alterada, mesmo com `sudo`.

Para conferir a versão instalada e o histórico de atualizações:

```bash
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
```

Se o comando `xprotect` não for encontrado no seu macOS, use a segunda linha, que existe há muito mais tempo.

## Quando ele está usando CPU

Uma rajada depois de instalar ou abrir um app novo é o caso esperado. Dê alguns minutos a ele, ligado na tomada.

Se continuar alto:

1. Abra o Monitor de Atividade, escolha **Visualizar › Todos os Processos** e ordene por **% CPU**. Anote o nome exato e se o uso é constante ou em picos.
2. Confira se o arquivo é mesmo da Apple. Selecione o processo e clique no botão **i**, depois em **Arquivos e Portas Abertos**. O programa deve estar em um dos caminhos acima.
3. Termine o que estava fazendo, reinicie e observe de novo por dez minutos. Reiniciar encerra uma verificação travada, e o macOS agenda a próxima por conta própria.
4. Instale as atualizações do macOS pendentes, em **Ajustes do Sistema › Geral › Atualização de Software**.
5. Se continuar rodando por horas na maioria dos dias, envie um feedback à Apple com o que você viu. Anote qual app você instalou por volta de quando começou, já que um app cujos arquivos mudam o tempo todo dá mais trabalho ao XProtect.

Uma lentidão que continua depois que o XProtect fica quieto tem outra causa, então veja [uso alto de CPU no Mac](https://mole.fit/pt-br/blog/mac-processes-explained) para ler a lista de processos.

## Ele basta sozinho

É proteção real contra malware conhecido, e trabalha junto com o Gatekeeper e a notarização. Mantenha **Instalar Proteções Rápidas e arquivos do Sistema** ligado, em **Ajustes do Sistema › Geral › Atualização de Software › Atualizações Automáticas**, já que é assim que chegam as atualizações de assinaturas. O que ele não é: um produto de segurança completo, sem histórico de verificações para ler, sem filtro de web e sem botão de verificação sob demanda. Querer um produto de terceiros por cima depende do que você faz e do que seu empregador exige. Se você vai remover um, [como desinstalar um antivírus no Mac](https://mole.fit/pt-br/blog/how-to-uninstall-antivirus-mac) lista o que cada um deixa para trás.

## O que não fazer

- Não tente apagá-lo nem desativá-lo. As pastas são protegidas, e os guias que contornam isso pedem para desligar a Proteção da Integridade do Sistema, o que custa muito mais do que um pico de CPU.
- Não force o encerramento dele várias vezes. Ele roda quando o macOS precisa, então o trabalho só é adiado.
- Não confie em um pop-up dizendo que o XProtect achou um vírus e oferecendo um número de telefone ou um download. O XProtect avisa no Finder e não pede nada.
- Não mantenha um app bloqueado trazendo-o de volta da Lixeira porque você reconhece o nome. Baixe-o de novo do desenvolvedor.

## Onde o Mole entra

O [Mole](https://mole.fit/pt-br/) não é um antivírus: não procura malware e não tem uma linha para o XProtect em **Limpar**. O **Status** mostra esses processos quando estão entre as linhas mais ocupadas, com tudo o que roda de uma pasta de bundle de app reunido em uma linha, e **Por que está em execução?** em uma linha mostra o executável dela, então você confere o caminho sem Terminal. Se você está atrás de um processo em segundo plano desconhecido que não é o XProtect, o segmento **Início** de **Apps** lista os itens de inicialização de terceiros, que é onde o adware persistente costuma se instalar.

## Perguntas frequentes

### O XProtect é um vírus?

Não. É o antivírus da Apple, parte do macOS. Os programas dele ficam em locais protegidos do sistema, então um processo com esse nome rodando de qualquer outro lugar, como a sua pasta Downloads, merece desconfiança.

### Posso desligar o XProtect?

Não nos Ajustes do Sistema. Deixe-o ligado: os únicos jeitos de contorná-lo enfraquecem a Proteção da Integridade do Sistema, que protege muito mais do que o XProtect.

### Por que o XProtectRemediator está rodando?

É a parte que procura e remove, de forma agendada, malware conhecido específico. Ver um desses processos não significa que seu Mac está infectado, porque eles rodam por rotina e a maioria termina rápido.

### Como confiro a versão do meu XProtect?

Rode `xprotect version` no Terminal, ou `system_profiler SPInstallHistoryDataType | grep -A 4 XProtect` para o histórico de atualizações.

### O XProtect significa que não preciso de antivírus?

Para muita gente ele cobre bem o malware conhecido, junto com o Gatekeeper e a notarização. Ele não oferece relatórios de verificação nem verificações sob demanda, então uma regra do trabalho ou a necessidade disso é um motivo para adicionar outro produto.

---

Canonical HTML page: https://mole.fit/pt-br/blog/what-is-xprotect-mac
Blog index for agents: https://mole.fit/pt-br/blog/llms.txt
Site index for agents: https://mole.fit/llms.txt