Xprotect, el sistema de defensa de Apple contra software malicioso

XProtect, el sistema de protección contra malware introducido por Apple en OS X 10.8 Mountain Lion ha estado presente en OS X desde entonces para evitar la ejecución de software que pudiera suponer un problema de seguridad a los usuarios. En OS X 10.9 Mavericks, Apple modificó el comportamiento del mismo y en OS X 10.10 Yosemite y posteriormente en OS X 10.11 El Capitan ha mantenido esta estructura desde una aplicación propia a formar parte del sistema de actualización de software.

Desde OS X 10.6 Snow Leopard a OS X 10.8 Mountain Lion, la ejecución de XProtect dependía de una aplicación ubicada en:

/usr/libexec/XProtectUpdater

Que se ejecutaba periódicamente y que el propio usuario podía disparar accediendo a XProtectupdater.

En OS X 10.9 Mavericks, sin embargo, Apple modificó la estructura de este sistema de seguridad haciéndolo depender del sistema de actualización de software a través de una característica no documentada y eliminó XProtectupdater. De hecho, en OS X 10.11 El Capitan hay cambios específicos frente a versiones anteriores, cerrando la gestión de Xprotect bajo System Integrity Protection.

Para forzar la ejecución del servicio de actualización de las definiciones de XProtect el sistema de actualización de software debe estar siempre activado. Esta opción, definica por una casilla en el panel de control de la Mac App Store, permite la ejecución de esta tarea crítica ya sea cada cierto tiempo o de forma manual, si la disparamos con el correspondiente comando de Terminal.

¿Dónde está la gestión de Xprotect en El Capitan?

En OS X 10.11 El Capitan, Xprotect tiene un paquete propio ubicado en:
/System/Library/CoreServices/XProtect.bundle

Dentro de este paquete, al mostrar el contenido del mismo, hay dos archivos que nos interesan particularmente: XProtect.meta.plist y XProtect.plist en el que se encuentra la lista negra de archivos que no se pueden instalar.

Forzando la actualización de definiciones de Xprotect

Para forzar el sistema de actualización de definiciones de XProtect, abre el Terminal en Aplicaciones > Utilidades y ejecuta:

sudo softwareupdate --background-critical

Al utilizar sudo, se te solicitará la contraseña de administrador. El comando realiza las mismas acciones que se realizaban con XProtectUpdater:

1. Comprobación de si el Mac tiene la última lista de definiciones de XProtect
2. Actualizar esa lista si es necesario

También puedes gestionar la comprobación de esta tarea de seguridad desde el Terminal con dos comandos, el primero, activa esta tarea y el segundo, la desactiva:

sudo softwareupdate --schedule on

sudo softwareupdate --schedule off