XProtect

Les analyses en arrière-plan sont la raison habituelle. XProtect Remediator lance une analyse rapide toutes les quelques heures, et d’autres plus longues chaque jour et chaque semaine, qui attendent que le Mac soit sur secteur. Pendant une analyse, vous verrez peut-être XProtect, XProtectPluginService et des processus nommés XProtectRemediator suivis du nom d’un logiciel malveillant, comme XProtectRemediatorAdload ou XProtectRemediatorPirrit, en haut des listes Processeur et Disque. Chacun cherche une famille de logiciels malveillants et se termine de lui-même.

Les nouvelles règles entraînent une seconde série, plus courte. Quand une mise à jour des signatures s’installe, XProtect revérifie les apps avec les nouvelles règles : son processeur peut donc monter un moment après une mise à jour. La même chose se produit à plus petite échelle quand vous installez ou mettez à jour plusieurs apps d’un coup, car chaque app modifiée est revérifiée.

Laissez l’analyse se terminer. Ne quittez pas les processus XProtect et ne cherchez pas à les désactiver : macOS les relance, et ce sont eux qui suppriment les logiciels malveillants de votre Mac. Si les analyses tombent toujours au mauvais moment, laissez le Mac allumé et branché un moment quand vous ne l’utilisez pas, pour que les plus longues puissent aller au bout.

Gardez ses mises à jour activées. Ouvrez Réglages Système → Général → Mise à jour logicielle, cliquez sur le bouton d’informations à côté de Mises à jour automatiques et vérifiez que l’installation des fichiers de données système et des mises à jour de sécurité est activée. Sur macOS Sequoia et versions antérieures, le réglage s’appelle Installer les réponses de sécurité et les fichiers système. C’est ainsi que les nouvelles règles XProtect arrivent sur votre Mac.

Le Moniteur d’activité montre XProtect au travail, et le Terminal ou Informations système vous indiquent quelle version de ses règles vous avez.

1. Ouvrez le Moniteur d’activité, cliquez sur l’onglet Processeur, choisissez Présentation → Toutes les opérations et tapez xprotect dans le champ de recherche. En général, vous verrez xprotectd, XprotectService et XProtectBridgeService. Pendant une analyse, les processus XProtect, XProtectPluginService et XProtectRemediator les rejoignent.
2. Pour voir d’où chacun est lancé, ouvrez le Terminal et lancez ps -axo user,comm | grep -i xprotect. Les processus d’Apple sont lancés depuis /usr/libexec, depuis /Library/Apple/System/Library/CoreServices/XProtect.app ou depuis /System/Library/PrivateFrameworks/XprotectFramework.framework.
3. Sur macOS Sequoia et versions ultérieures, lancez xprotect version. La commande affiche la version installée des règles de XProtect et leur date d’installation.
4. Lancez sudo xprotect check et saisissez votre mot de passe pour voir la dernière version publiée par Apple. Si elle est plus récente que la vôtre, sudo xprotect update l’installe tout de suite.
5. Sur n’importe quel macOS récent, maintenez la touche Option, choisissez le menu Pomme → Informations système, puis cliquez sur Installations sous Logiciel. Les mises à jour nommées XProtectPlistConfigData, XProtectPayloads ou XProtectCloudKitUpdate sont celles de XProtect. Dans le Terminal, system_profiler SPInstallHistoryDataType | grep -A4 XProtect affiche la même liste.

Normal : les processus de XProtect vont et viennent au fil de la journée et consomment peu la plupart du temps. Si le même reste en haut de la liste Processeur pendant des heures tous les jours, redémarrez le Mac, ce qui met fin à une analyse bloquée, et vérifiez que ses mises à jour sont activées, pour recevoir tout correctif qu’Apple publiera.

XProtect est plus occupé que d’habitude dans ces moments-là, et chacun se termine de lui-même :

• Une analyse programmée : une rapide toutes les quelques heures, et d’autres plus longues chaque jour et chaque semaine quand le Mac est branché.
• Les heures qui suivent l’installation de nouvelles règles, quand il revérifie les apps avec celles-ci.
• Le premier lancement des apps que vous avez téléchargées ou mises à jour, qui sont vérifiées avant de s’ouvrir.
• L’installation ou la mise à jour de nombreuses apps d’un coup, puisque chaque app modifiée est revérifiée.

Quand XProtect trouve un logiciel malveillant connu à l’ouverture d’une app, il le bloque, le place dans la Corbeille et affiche une alerte dans le Finder. Videz la Corbeille, et ne retéléchargez pas l’app depuis le même endroit. XProtect Remediator supprime sans rien demander les logiciels malveillants qu’il trouve pendant ses analyses.

XProtect ne redémarre pas le Mac de lui-même, et certaines suppressions ne se terminent qu’après un redémarrage. Si vous avez vu une alerte, redémarrez dès que possible.

Une alerte qui revient sans cesse pour une app que vous n’avez pas téléchargée vous-même signifie que quelque chose sur le Mac la télécharge à nouveau. Cherchez dans Réglages Système → Général → Ouverture et extensions les éléments que vous ne reconnaissez pas, et supprimez l’app à laquelle ils appartiennent.