XProtect

Também: proteção contra malware integrada

Perguntar à IA ChatGPT Claude Perplexity AI Mode Grok Markdown

Resposta rápida

XProtect é a proteção contra malware integrada ao macOS. Ele verifica os apps com base nas assinaturas de malware da Apple quando eles abrem pela primeira vez, quando mudam e quando as assinaturas são atualizadas, faz varreduras no Mac em segundo plano e remove o malware que encontra. A Apple atualiza as regras dele separadamente das atualizações do macOS.

O XProtect não é um malware nem um app de terceiros. Ele é o antivírus da própria Apple, instalado com o macOS em /Library/Apple/System/Library/CoreServices/XProtect.app, e não tem janela nem ajustes próprios. Você o nota de duas formas: um alerta do Finder dizendo que um app foi bloqueado como malware e movido para o Lixo, e processos com XProtect no nome no Monitor de Atividade.

Ele funciona em duas camadas. A primeira verifica os apps com base nas assinaturas da Apple nos momentos citados acima. A segunda, o XProtect Remediator, faz varreduras programadas no Mac em busca de malware já instalado e o remove. O macOS procura regras novas do XProtect todos os dias e as instala em segundo plano, sem atualização do macOS e sem reiniciar.

Por que o XProtect está usando CPU

As varreduras em segundo plano são o motivo comum. O XProtect Remediator faz uma varredura rápida a cada poucas horas e outras mais longas, diárias e semanais, que esperam o Mac estar ligado na energia. Durante uma varredura, você pode ver o XProtect, o XProtectPluginService e processos chamados XProtectRemediator seguidos do nome de um malware, como XProtectRemediatorAdload ou XProtectRemediatorPirrit, perto do topo das listas de CPU e de Disco. Cada um procura uma família de malware e termina sozinho.

Regras novas causam uma segunda rodada, mais curta. Quando uma atualização de assinaturas é instalada, o XProtect verifica os apps de novo com base nas regras novas, então a CPU dele pode subir por um tempo depois de uma atualização. O mesmo acontece em escala menor quando você instala ou atualiza vários apps de uma vez, porque cada app alterado é verificado de novo.

O que fazer

Deixe a varredura terminar. Não encerre os processos do XProtect nem procure formas de desativá-los: o macOS os inicia de novo, e são eles que removem o malware do seu Mac. Se as varreduras continuam caindo em horas ruins, deixe o Mac acordado e ligado na tomada por um tempo quando não o estiver usando, para que as mais longas terminem.

Mantenha as atualizações dele ativadas. Abra Ajustes do Sistema → Geral → Atualização de Software, clique no botão Informações ao lado de Atualizações Automáticas e confirme que Instalar arquivos de dados do sistema e atualizações de segurança está ativado. No macOS Sequoia e anteriores, o ajuste se chama Instalar Respostas de Segurança e arquivos do sistema. É assim que as regras novas do XProtect chegam ao seu Mac.

Como verificar se o XProtect está funcionando e atualizado

O Monitor de Atividade mostra o XProtect trabalhando, e o Terminal ou as Informações do Sistema dizem qual versão das regras dele você tem.

Abra o Monitor de Atividade, clique na aba CPU, escolha Visualizar → Todos os Processos e digite xprotect no campo de busca. Normalmente você vai ver xprotectd, XprotectService e XProtectBridgeService. Durante uma verificação, os processos XProtect, XProtectPluginService e XProtectRemediator se juntam a eles.
Para ver de onde cada um é executado, abra o Terminal e execute ps -axo user,comm | grep -i xprotect. Os processos da Apple rodam a partir de /usr/libexec, de /Library/Apple/System/Library/CoreServices/XProtect.app ou de /System/Library/PrivateFrameworks/XprotectFramework.framework.
No macOS Sequoia ou posterior, execute xprotect version. Ele mostra a versão instalada das regras do XProtect e a data em que foram instaladas.
Execute sudo xprotect check e digite sua senha para ver a versão mais recente que a Apple publicou. Se for maior que a sua, sudo xprotect update a instala na hora.
Em qualquer macOS recente, mantenha a tecla Option pressionada, escolha menu Apple → Informações do Sistema e clique em Instalações, em Software. As atualizações chamadas XProtectPlistConfigData, XProtectPayloads ou XProtectCloudKitUpdate são do XProtect. No Terminal, system_profiler SPInstallHistoryDataType | grep -A4 XProtect mostra a mesma lista.

Uso normal do XProtect ou sinal de problema

Normal: os processos do XProtect aparecem e somem ao longo do dia e usam pouco na maior parte do tempo. Se o mesmo processo fica perto do topo da lista de CPU por horas todos os dias, reinicie o Mac, o que encerra uma verificação travada, e confirme que as atualizações dele estão ativadas, para que qualquer correção da Apple chegue até você.

O XProtect fica mais ocupado que o normal nestes momentos, e cada um termina sozinho:

Uma verificação agendada: uma rápida a cada poucas horas, e outras mais longas, diárias e semanais, quando o Mac está ligado na tomada.
As horas depois da instalação de regras novas, quando ele verifica os apps de novo com base nelas.
A primeira abertura de apps que você baixou ou atualizou, que são verificados antes de abrir.
Instalar ou atualizar muitos apps de uma vez, já que cada app alterado é verificado de novo.

Se o XProtect encontrar malware

Quando o XProtect encontra um malware conhecido ao abrir um app, ele o bloqueia, move para o Lixo e mostra um alerta no Finder. Esvazie o Lixo e não baixe o app de novo do mesmo lugar. O XProtect Remediator remove sem perguntar o malware que encontra durante as verificações.

O XProtect não reinicia o Mac sozinho, e algumas remoções só terminam depois de reiniciar. Se você viu um alerta, reinicie quando puder.

Um alerta que volta sempre para um app que você mesmo não baixou significa que algo no Mac está buscando esse app de novo. Procure em Ajustes do Sistema → Geral → Itens de Início de Sessão e Extensões itens que você não reconhece e remova o app a que eles pertencem.

Perguntas frequentes

O que é XProtect no Mac?

A proteção contra malware integrada da Apple. Ele verifica os apps com base em malwares conhecidos quando eles abrem ou mudam, faz varreduras no Mac em segundo plano com o XProtect Remediator e remove o que encontra.

O XProtect é malware?

Não. O XProtect faz parte do macOS e é justamente o que remove malware. O verdadeiro fica em /Library/Apple/System/Library/CoreServices/XProtect.app e em /System/Library/PrivateFrameworks/XprotectFramework.framework, e é assinado pela Apple.

Posso desativar o XProtect?

Os Ajustes do Sistema não têm uma chave para isso, e você não deveria tentar. Desativar as atualizações de segurança automáticas só impede a chegada de regras novas, o que deixa o Mac protegido contra menos malware.

O que é o XProtectPluginService e por que ele usa tanta CPU?

Ele faz parte do XProtect, um auxiliar dentro do XProtect.app que participa das verificações agendadas de malware. CPU alta nele significa que uma verificação está em andamento. Ela termina sozinha, e as verificações mais longas só rodam quando o Mac está ligado na energia.

O que são os processos XProtectRemediator?

Os verificadores do XProtect Remediator. Cada um procura uma única família de malware para Mac, e é por isso que têm nomes como XProtectRemediatorAdload ou XProtectRemediatorPirrit. Eles aparecem durante uma verificação e são encerrados quando ela termina.

Relacionados

Procurando algo melhor que o Monitor de Atividade? Veja as melhores alternativas ao Monitor de Atividade para Mac ou navegue por todos os termos do glossário.