XProtect

Scans op de achtergrond zijn de gebruikelijke reden. XProtect Remediator doet elke paar uur een snelle scan en daarnaast langere dagelijkse en wekelijkse scans, die wachten tot de Mac aan de stroom hangt. Tijdens een scan zie je misschien XProtect, XProtectPluginService en processen met de naam XProtectRemediator gevolgd door een malwarenaam, zoals XProtectRemediatorAdload of XProtectRemediatorPirrit, bovenaan de CPU- en schijflijsten. Elk zoekt naar één familie malware en is vanzelf klaar.

Nieuwe regels zorgen voor een tweede, kortere ronde. Als er een handtekeningupdate wordt geïnstalleerd, controleert XProtect apps opnieuw tegen de nieuwe regels, dus het CPU-gebruik kan na een update een tijdje stijgen. Hetzelfde gebeurt op kleinere schaal als je meerdere apps tegelijk installeert of bijwerkt, omdat elke gewijzigde app opnieuw wordt gecontroleerd.

Laat de scan afronden. Stop XProtect-processen niet en zoek geen manier om ze uit te schakelen: macOS start ze opnieuw, en zij zijn het die malware van je Mac verwijderen. Vallen scans steeds op een slecht moment, laat de Mac dan een tijdje wakker en aan de stroom als je hem niet gebruikt, zodat de langere scans klaar kunnen komen.

Houd de updates ingeschakeld. Open Systeeminstellingen → Algemeen → Software-update, klik op de infoknop naast ‘Automatische updates’ en zorg dat ‘Installeer systeemgegevensbestanden en beveiligingsupdates’ is ingeschakeld. Op macOS Sequoia en eerder heet de instelling ‘Installeer beveiligingsreacties en systeembestanden’. Zo komen nieuwe XProtect-regels op je Mac.

Activiteitenweergave laat XProtect aan het werk zien, en Terminal of Systeeminformatie vertelt welke versie van de regels je hebt.

1. Open Activiteitenweergave, klik op het tabblad CPU, kies ‘Weergave’ → ‘Alle processen’ en typ xprotect in het zoekveld. Meestal zie je xprotectd, XprotectService en XProtectBridgeService. Tijdens een scan komen daar de processen XProtect, XProtectPluginService en XProtectRemediator bij.
2. Om te zien waar elk proces vandaan draait, open je Terminal en voer je ps -axo user,comm | grep -i xprotect uit. De processen van Apple draaien vanuit /usr/libexec, vanuit /Library/Apple/System/Library/CoreServices/XProtect.app of vanuit /System/Library/PrivateFrameworks/XprotectFramework.framework.
3. Op macOS Sequoia en nieuwer voer je xprotect version uit. Dat toont de geïnstalleerde versie van de XProtect-regels en de datum waarop ze zijn geïnstalleerd.
4. Voer sudo xprotect check uit en voer je wachtwoord in om de nieuwste versie te zien die Apple heeft uitgebracht. Is die hoger dan de jouwe, dan installeert sudo xprotect update hem meteen.
5. Op elke recente macOS-versie houd je Option ingedrukt, kies je Apple-menu → Systeeminformatie en klik je op ‘Installaties’ onder ‘Software’. Updates met de naam XProtectPlistConfigData, XProtectPayloads of XProtectCloudKitUpdate zijn van XProtect. In Terminal toont system_profiler SPInstallHistoryDataType | grep -A4 XProtect dezelfde lijst.

Normaal: de processen van XProtect komen en gaan in de loop van de dag en gebruiken meestal weinig. Staat hetzelfde proces elke dag urenlang bovenaan de CPU-lijst, herstart dan de Mac, zodat een vastgelopen scan stopt, en zorg dat de updates aanstaan, zodat elke oplossing die Apple uitbrengt je bereikt.

XProtect is op deze momenten drukker dan normaal, en elk daarvan houdt vanzelf op:

• Een geplande scan: elke paar uur een snelle, en langere dagelijkse en wekelijkse scans als de Mac aan de stroom hangt.
• De uren nadat er nieuwe regels zijn geïnstalleerd, als het apps opnieuw tegen die regels controleert.
• De eerste start van apps die je hebt gedownload of bijgewerkt, die worden gecontroleerd voordat ze openen.
• Veel apps tegelijk installeren of bijwerken, omdat elke gewijzigde app opnieuw wordt gecontroleerd.

Vindt XProtect bekende malware als een app opent, dan blokkeert het die, verplaatst het de app naar de prullenmand en toont het een melding in de Finder. Leeg de prullenmand en download de app niet opnieuw van dezelfde plek. XProtect Remediator verwijdert malware die het tijdens zijn scans vindt zonder het te vragen.

XProtect herstart de Mac niet zelf, en sommige verwijderingen worden pas na een herstart voltooid. Heb je een melding gezien, herstart dan als het uitkomt.

Komt een melding steeds terug voor een app die je niet zelf hebt gedownload, dan haalt iets op de Mac hem steeds opnieuw binnen. Kijk in Systeeminstellingen → Algemeen → Inlogonderdelen en extensies naar onderdelen die je niet herkent, en verwijder de app waar ze bij horen.