XProtect es el sistema de detección de virus Mac de Apple que mantiene su Mac seguro. Así es como funciona la función protectora de macOS.
Los virus y otro malware son una amenaza constante para las computadoras, que los internautas tienen que evitar cada vez que se conectan.
Un virus informático es un pequeño fragmento de código que se instala silenciosamente en su ordenador. Uno en el que se ejecuta o se incrusta en otro software y causa estragos.
El software malicioso está escrito por malos actores que tienen la intención de dañar computadoras, sistemas u otros dispositivos electrónicos. Una vez que un virus se vuelve salvaje, puede propagarse rápidamente a través de millones de computadoras, a menudo no detectado hasta que es demasiado tarde.
Como respuesta a virus y otro malware, muchos proveedores de software y sistemas operativos han desarrollado software antivirus o antimalware. Estos pueden escanear y «limpiar» un ordenador de código malicioso.
Una forma en que el software antivirus hace esto es escanear las firmas, tamaños y código de la aplicación conocidos. Luego se comparan con las bases de datos descargadas de malware conocido.
Si se encuentra una coincidencia, el software malo se puede eliminar del ordenador.
Dos de los primeros paquetes de software antivirus que datan de décadas en el Mac son Norton Anti-virus y Virex. McAfee es otra aplicación antivirus que ha existido en el Mac durante años y todavía está disponible hoy en día.
XProtect
A partir de Mac OS X 10.6 Snow Leopard en 2009, Apple agregó su propia protección antivirus llamada XProtect.
XProtect se ejecuta en segundo plano, analizando cada vez que se inicia una aplicación por primera vez, cuando una aplicación cambia en el sistema de archivos o cuando está disponible una nueva base de datos de firmas XProtect descargable.
Estas son las respuestas de seguridad que a menudo verá en la lista de configuración del sistema->General->Actualizaciones de software
Algunos usuarios han informado de un alto uso de la CPU del servicio XProtect en segundo plano (XProtectService) como se ve en la utilidad Activity Monitor, pero personalmente, aún no lo hemos visto.
Como XProtect se ejecuta silenciosamente en segundo plano, observa el sistema de archivos y las aplicaciones a medida que se ejecutan – comprobar si su Mac tiene algún malware que aparezca en la base de datos de firmas de XProtect. Si se encuentra una coincidencia, XProtect le pide que elimine el malware de su computadora.
Al usar un monitor de fondo silencioso para estar atento al malware, XProtect mantiene su Mac seguro y libre de aplicaciones potencialmente dañinas.
Dado que XProtect es parte de macOS, y dado que sus archivos de firma están alojados e instalados por Apple, no necesita preocuparse por nada: su Mac se encarga de todo por usted.
Los archivos X(Protect)
Puede ver qué archivos de firma de XProtect se han descargado en su Mac manteniendo presionada la tecla Opción y seleccionando Información del sistema en el menú Apple en la barra de menú.
Esto ejecuta la aplicación Información del sistema en /Utilidades. Desplácese hasta Software->Instalaciones a la izquierda para ver XProtectPayloads y XProtectPlistConfigData, que muestran la versión y la fecha/hora en que se descargó cada base de datos de firmas XProtect de Apple.
Certificación notarial y Gatekeeper
Cuando los desarrolladores de terceros crean una aplicación para Mac, pueden enviarla a Apple para su Notarización. Las aplicaciones enviadas de esta manera son analizadas en busca de malware, y Apple crea una firma de las versiones conocidas de la aplicación para incluirla en el archivo de firmas de XProtect. Apple proporciona a los desarrolladores dos herramientas de línea de comandos para la notarización: altool (obsoleta) y la más reciente notarytool, que se introdujo con Xcode 13.
altool ya no está disponible en macOS 15 Sequoia, y Apple ha publicado una nota técnica (TN3147) sobre cómo migrar de la herramienta antigua a la nueva.
Puedes obtener ayuda sobre el uso de notarytool en la aplicación Terminal de macOS escribiendo: man notarytool y presionando Enter.
Para salir de la página de ayuda, presiona Control-Z en tu teclado. Apple también ofrece una página en su documentación para desarrolladores sobre cómo Personalizar el flujo de trabajo de Notarización.
La notarización funciona en conjunto con Gatekeeper y Developer ID de Apple para garantizar que las aplicaciones de Mac distribuidas fuera de la Mac App Store sean auténticas y estén libres de malware, incluidos virus.
Una vez que Apple ha notariado una aplicación de terceros, los desarrolladores pueden distribuirla fuera de la Mac App Store. La notarización, Gatekeeper y XProtect son responsables de que aparezca el cuadro de diálogo “Verificando…” en Finder la primera vez que ejecutas una aplicación que no proviene de la Mac App Store.
El proceso de análisis escanea el paquete (carpeta) de la aplicación en busca de componentes maliciosos y evita que se ejecute si se encuentra alguno. También compara el contenido de la aplicación con las firmas de malware conocidas en la base de datos de firmas de XProtect.
Por esta razón, el proceso de “Verificación” puede tardar más tiempo en aplicaciones grandes cuando se ejecutan por primera vez.
Cuando haces doble clic en una aplicación notariada en Finder, aparece el mensaje: “Esta aplicación se descargó de internet. ¿Estás seguro de que deseas abrirla?”. Esto te da la oportunidad de decidir si deseas ejecutar la aplicación. Si haces clic en “Aceptar”, Finder lanza la aplicación y, si ha sido notariada, XProtect comienza a escanearla en busca de componentes maliciosos.
Anteriormente, era posible desactivar Gatekeeper por completo, pero Apple eliminó esta opción en 2016. El software de terceros para Mac que no utiliza Gatekeeper no puede ejecutarse en versiones actuales de macOS si no ha sido notariado o construido con Developer ID, sin advertirte primero.
Si al iniciar una aplicación de Mac en Finder recibes los mensajes de advertencia “Mover a la papelera” o “no verificado”, deberás ir a Configuración del sistema > Privacidad y seguridad. Allí, haz clic en el botón “Abrir de todas formas” e introduce una contraseña de administrador para tu Mac.
Apple también requiere que los desarrolladores de terceros agreguen el atributo extendido del sistema de archivos LSQuarantine (com.apple.quarantine) a las descargas de sus aplicaciones antes de distribuirlas por internet. Este atributo activa Gatekeeper para escanear la aplicación antes de ejecutarla. Sin embargo, todavía es posible que los desarrolladores publiquen software para Mac en internet sin este atributo añadido.
En conjunto, estas funciones de seguridad dificultan que los actores malintencionados infecten tu Mac con software malicioso. Según Apple, XProtect se ejecuta al menos una vez al día y cuando la actividad del usuario en un Mac es baja.
Reglas de YARA
XProtect utiliza un conjunto de reglas YARA de VirusTotal para comparar su base de datos con las aplicaciones de su Mac. YARA utiliza la detección basada en firmas para localizar malware incrustado en el código.
Cuando XProtect escanea las aplicaciones de su Mac en busca de malware, utiliza las reglas de YARA para comprobar cada aplicación en busca de un conjunto de comparaciones. Estos podrían producir pistas que apuntan a código malicioso incrustado en aplicaciones o en paquetes de aplicaciones.
NCCIC tiene un documento algo anticuado sobre el uso de YARA para la detección de malware. Realmente no necesitas conocer los detalles internos para que YARA sea útil, ya que Apple maneja su uso en macOS.
XProtect descarga y actualiza sus propios archivos de firmas.
Alertas de XProtect para malware
Si intentas iniciar una aplicación que contenga malware conocido, XProtect ejecutará XProtect Remediator y te alertará en el Finder de que cree que la aplicación puede contener malware. El Finder te preguntará si quieres moverlo a la Papelera.
Si haces clic en Trasladar a la Papelera, el Finder moverá la aplicación a la Papelera de macOS, pero no la eliminará. Debes usar el elemento de menú Finder->Vaciar papelera para eliminar realmente la aplicación del Mac.
XProtect Remediator le dice en el Finder qué malware XProtect encontró en una aplicación en particular cuando intentó iniciarla. Luego puede decidir si moverlo a la Papelera o no.
Howard Oakley de Eclectic Light Company tiene una buena página sobre lo que sucede cuando se ejecuta el XProtect Remediator (en Faq-mac somos ávidos lectores de los artículos de ELC).
Oakley también tiene una nota de 2022 sobre los cambios realizados por Apple en XProtect y qué malware escanea, aunque la lista no es de ninguna manera exhaustiva.
Para obtener información resumida sobre cómo funciona XProtect y otros programas de seguridad de macOS, consulte la Guía de seguridad de la plataforma de Apple y Gatekeeper y la protección en tiempo de ejecución en macOS.
Herramienta de línea de comandos xprotect
macOS también incluye una interfaz de línea de comandos (CLI) para XProtect llamada xprotect. Puedes ejecutar esta herramienta en Terminal con un comando para obtener información sobre XProtect que se ejecuta en tu Mac.
Para obtener una lista de los comandos de xprotect en Terminal, escribe:
man xprotect y presiona Enter en tu teclado.
Brevemente, los comandos son los siguientes:
• actualizar: fuerza la descarga de nuevos archivos de XProtect.
• comprobar: imprime la versión de actualización en línea actualmente disponible.
• versión: imprime la versión actualmente instalada de los archivos de XProtect.
• registros: muestra los registros de XProtect.
• estado: imprime el estado actual de XProtect.
• ayuda: imprime ayuda para un subcomando.
Ten en cuenta que todos los comandos de xprotect deben ejecutarse con el comando sudo y una contraseña de administrador en Terminal para que funcionen.
Por ejemplo, al ejecutar sudo xprotect update, se muestra:
Starting update.
No update applied, already up to date
Esto indica que no hay información adicional de XProtect disponible para descargar.
