XProtect

Genomsökningar i bakgrunden är den vanliga orsaken. XProtect Remediator kör en snabb genomsökning med några timmars mellanrum och längre dagliga och veckovisa, som väntar tills datorn är ansluten till ström. Medan en genomsökning pågår kan du se XProtect, XProtectPluginService och processer med namnet XProtectRemediator följt av namnet på ett sabotageprogram, till exempel XProtectRemediatorAdload eller XProtectRemediatorPirrit, nära toppen av listorna på flikarna Processor och Skiva. Var och en letar efter en familj av sabotageprogram och avslutas av sig själv.

Nya regler ger en andra, kortare omgång. När en signaturuppdatering installeras kontrollerar XProtect appar igen mot de nya reglerna, så dess processoranvändning kan stiga ett tag efter en uppdatering. Samma sak händer i mindre skala när du installerar eller uppdaterar flera appar på en gång, eftersom varje ändrad app kontrolleras igen.

Låt genomsökningen bli klar. Avsluta inte XProtect-processer och leta inte efter sätt att stänga av dem: macOS startar dem igen, och det är de som tar bort sabotageprogram från din Mac. Om genomsökningarna hela tiden kommer vid dåliga tillfällen låter du datorn vara vaken och ansluten till ström en stund när du inte använder den, så att de längre kan bli klara.

Låt uppdateringarna vara påslagna. Öppna Systeminställningar → Allmänt → Programuppdatering, klicka på infoknappen bredvid Automatiska uppdateringar och kontrollera att Installera systemdatafiler och säkerhetsuppdateringar är påslaget. I macOS Sequoia och tidigare heter inställningen Installera säkerhetssvar och systemfiler. Det är så nya XProtect-regler når din Mac.

Aktivitetskontroll visar XProtect i arbete, och Terminal eller Systeminformation visar vilken version av dess regler du har.

1. Öppna Aktivitetskontroll, klicka på fliken Processor, välj Innehåll → Alla processer och skriv xprotect i sökfältet. Oftast ser du xprotectd, XprotectService och XProtectBridgeService. Under en genomsökning tillkommer processerna XProtect, XProtectPluginService och XProtectRemediator.
2. Om du vill se var var och en körs från öppnar du Terminal och kör ps -axo user,comm | grep -i xprotect. Apples processer körs från /usr/libexec, från /Library/Apple/System/Library/CoreServices/XProtect.app eller från /System/Library/PrivateFrameworks/XprotectFramework.framework.
3. I macOS Sequoia och senare kör du xprotect version. Det skriver ut den installerade versionen av XProtects regler och datumet då de installerades.
4. Kör sudo xprotect check och ange ditt lösenord för att se den senaste version Apple har publicerat. Om den är högre än din installerar sudo xprotect update den direkt.
5. I alla nyare versioner av macOS håller du ned alternativtangenten, väljer Apple-menyn → Systeminformation och klickar på Installationer under Programvara. Uppdateringar med namnen XProtectPlistConfigData, XProtectPayloads eller XProtectCloudKitUpdate hör till XProtect. I Terminal skriver system_profiler SPInstallHistoryDataType | grep -A4 XProtect ut samma lista.

Normalt: XProtects processer kommer och går under dagen och använder lite för det mesta. Om samma process ligger nära toppen av processorlistan i timmar varje dag startar du om datorn, vilket avslutar en genomsökning som har fastnat, och ser till att uppdateringarna är påslagna, så att alla rättningar Apple skickar ut når dig.

XProtect är mer upptaget än vanligt vid de här tillfällena, och vart och ett går över av sig självt:

• En schemalagd genomsökning: en snabb med några timmars mellanrum, och längre dagliga och veckovisa när datorn är ansluten till ström.
• Timmarna efter att nya regler har installerats, när den kontrollerar appar igen mot dem.
• Första starten av appar du har hämtat eller uppdaterat, som kontrolleras innan de öppnas.
• När du installerar eller uppdaterar många appar på en gång, eftersom varje ändrad app kontrolleras igen.

När XProtect hittar känt sabotageprogram i en app som öppnas blockerar XProtect appen, flyttar den till papperskorgen och visar en varning i Finder. Töm papperskorgen och hämta inte appen igen från samma ställe. XProtect Remediator tar bort sabotageprogram som den hittar under sina genomsökningar utan att fråga.

XProtect startar inte om datorn av sig själv, och vissa borttagningar blir klara först efter en omstart. Om du har sett en varning startar du om när du kan.

En varning som hela tiden kommer tillbaka för en app som du inte har hämtat själv betyder att något på datorn hämtar den igen. Leta i Systeminställningar → Allmänt → Startobjekt och tillägg efter objekt du inte känner igen, och ta bort appen de hör till.