XProtect

よくある理由はバックグラウンドのスキャンです。XProtect Remediatorは数時間おきに短いスキャンを行い、日ごと・週ごとの長いスキャンはMacが電源につながるまで待ちます。スキャン中は、XProtect、XProtectPluginService、そしてXProtectRemediatorAdloadやXProtectRemediatorPirritのように、XProtectRemediatorのあとにマルウェアの名前が付いたプロセスが、CPUやディスクのリストの上位に来ることがあります。それぞれが1つのファミリーのマルウェアを探し、自然に終わります。

新しいルールが来ると、短い2回目のチェックが起きます。シグネチャのアップデートがインストールされると、XProtectは新しいルールでアプリを改めてチェックするので、アップデート後しばらくCPU使用率が上がることがあります。複数のアプリを一度にインストールまたはアップデートしたときも、変更されたアプリがそれぞれ改めてチェックされるので、小規模ながら同じことが起こります。

スキャンが終わるまで待ちましょう。XProtectのプロセスを終了したり、無効にする方法を探したりしないでください。macOSが再び起動しますし、Macからマルウェアを取り除いているのはこれらのプロセスです。スキャンがいつも都合の悪いときに重なるなら、使っていないときにしばらくMacをスリープさせずに電源につないでおき、長いスキャンが完了できるようにします。

アップデートはオンのままにしておきます。システム設定 → 一般 → ソフトウェアアップデートを開き、“自動アップデート”の横の情報ボタンをクリックして、“システムデータファイルとセキュリティアップデートをインストール”がオンになっていることを確認します。macOS Sequoia以前では、この設定は“セキュリティ対応とシステムファイルをインストール”という名前です。新しいXProtectのルールは、この設定を通じてMacに届きます。

XProtectが動いている様子はアクティビティモニタで、ルールのバージョンはターミナルかシステム情報でわかります。

1. アクティビティモニタを開いて“CPU”タブをクリックし、“表示” → “すべてのプロセス”を選んで、検索フィールドにxprotectと入力します。通常はxprotectd、XprotectService、XProtectBridgeServiceが表示されます。スキャン中は、XProtect、XProtectPluginService、XProtectRemediatorのプロセスも加わります。
2. それぞれがどこから実行されているかを見るには、ターミナルを開いてps -axo user,comm | grep -i xprotectを実行します。Appleのプロセスは、/usr/libexec、/Library/Apple/System/Library/CoreServices/XProtect.app、または/System/Library/PrivateFrameworks/XprotectFramework.frameworkから実行されています。
3. macOS Sequoia以降では、xprotect versionを実行します。インストールされているXProtectのルールのバージョンと、そのインストール日が表示されます。
4. sudo xprotect checkを実行してパスワードを入力すると、Appleが公開している最新のバージョンがわかります。自分のバージョンより新しければ、sudo xprotect updateですぐにインストールできます。
5. 最近のmacOSならどれでも、Optionキーを押しながらアップルメニュー → システム情報を選び、“ソフトウェア”の下の“インストール”をクリックします。XProtectPlistConfigData、XProtectPayloads、XProtectCloudKitUpdateという名前のアップデートがXProtectのものです。ターミナルでは、system_profiler SPInstallHistoryDataType | grep -A4 XProtectで同じリストが表示されます。

普通: XProtectのプロセスは1日のうちに現れては消え、ほとんどの時間はわずかしか使いません。同じプロセスが毎日何時間もCPUのリストの上位に居続けるなら、Macを再起動して止まったスキャンを終わらせ、XProtectのアップデートがオンになっていることを確かめて、Appleが修正を出したときに届くようにします。

XProtectがいつもより忙しくなるのは次のようなときで、どれも自然に終わります:

• 定期スキャン。数時間おきの短いスキャンと、Macが電源につながっているときの、日ごと・週ごとの長いスキャンがあります。
• 新しいルールがインストールされたあとの数時間。そのルールでアプリをもう一度チェックします。
• ダウンロードまたはアップデートしたアプリの初回起動。開く前にチェックされます。
• 多くのアプリを一度にインストールまたはアップデートしたとき。変更されたアプリはそれぞれ改めてチェックされます。

アプリを開くときに既知のマルウェアを見つけると、XProtectはそれをブロックしてゴミ箱に移し、Finderで警告を表示します。ゴミ箱を空にし、同じ場所からそのアプリをもう一度ダウンロードしないでください。XProtect Remediatorは、スキャン中に見つけたマルウェアを確認なしで削除します。

XProtectが自分でMacを再起動することはなく、削除の中には再起動後にしか完了しないものもあります。警告が表示されたら、都合のいいときに再起動しましょう。

自分でダウンロードしていないアプリの警告が何度も表示されるなら、Mac上の何かがそれを繰り返し取得しています。システム設定 → 一般 → ログイン項目と機能拡張で見覚えのない項目を探し、それが属するアプリを削除します。