macOS Mojave Beta（10.14）およびmacOS High Sierra（10.13.6）に表示される「YaraScanService」とは何ですか？

macOS Mojaveバージョン10.14ベータ版に更新したところ、という新しいプロセスに気付きましたYaraScanService。プロセスが大量のRAMを消費しています（約10GB）。Activity Monitorを使用してプロセスを強制終了しましたが、1時間後に戻ってきました。

このプロセスは何であり、それは正確に何をしますか？
シャットダウンしたり、メモリを占有するのを止めたりする方法はありますか？

macos memory cpu

— ファラビ・アブデルワヘド
ソース

Apple Malware Removal Tool（/System/Library/CoreServices/MRT.app/）からのものです。参照してください10.14ベータ2では- YaraScanServiceは何をするのでしょうか？。osxからYarascanを削除する方法を参照してください。そして、MRTアプリとは何ですか？。これはMojave更新の結果であり、最終的にスキャンを停止するはずです。Appleのセキュリティ機能にまったく依存している場合は、MRT.appを削除しないでください。

— user187561

また、XProtectとMRTがMacを保護するものをご覧ください。。

— ユーザー187561

ラムの使用を制限する場所はありますか？または、ベータ版を使用する費用

— ですか

回答:

MRT / YaraScanは、MacOSが提供するウイルス対策著作権ツールです。わいせつなメモリ使用の理由は、基本的にOSXに正式な「アンチウイルス」がない理由です。

もっと簡単に言えば、YaraScanはここの「ボラティリティスイート」の一部です。https://www.volatilityfoundation.org/about

ウイルスと違法な海賊版の両方がコードパスの「シグネチャ」セットによってのみ検出され、多くの場合バグ、エクスプロイト、脆弱なパッチ適用に依存していることを認識してください。侵害検出ツール。

YaraScanは、Mojaveの更新後に1回実行され、その後自分自身を削除します。また、MRT内の特定のMacOSシステムで持続することも確認されています。メモリを大量に使用する理由は、オプトアウトなどでプログラムされていない限り、上記の検索ファイルに暗号化される可能性のある未知のサイズのファイルを大量のファイルでスキャンする必要があるプロセスが使用するためです復号化されたすべてのスキャンされたファイルが再び必要になった場合に限られた時間保存するための非アクティブなメモリの量。どうして？空のRAMは無駄なRAMであるため、まだワットを与えなければならないので、他の何かがそこに置かれたくないときに、その上のものを削除するのはなぜですか？取り戻すには100倍長くかかります。

さらに重要なことは、FilevaultまたはAPFS を使用している場合、そのデータはすべて暗号化されているため、解読するには解読する必要があります。実際には、多くのアプリを起動し、ロードするときにスキャンする必要があります。多くのファイルが集まって、単一の「同時ファイル」としてメモリ空間に脅威を形成する可能性があります。ウイルスは、完全に無関係なアプリのdylibに部分的に保存できます。

時間は、MacのGrand Central Dispatchによって積極的に決定され、その論理RAMを必要とするプログラムを使用しようとすると、すぐにクリアされます。この場合、仮想メモリは大きくする必要があります。復号化されたものはすべて、作成後すぐにセカンダリパスで削除するよりも文字通りスペースがなくなるまでそこに保存する方がよいためです。

これは、応答性よりもドライブ寿命を最大化するSSDの時代の新しい動作です。現在のGCDの動作は、SSD / HDDが終了するのを待たなければならないディスクへの書き込みやRAMへの他のリクエストよりも速く復号化データを作成する高速CPUによるスローダウンが原因であることを示唆しています。

— user1901982
ソース

アップルは知らないうちに人々のストレージを覗き見していますか？これは、Sony DRMゲートのフロントページニュースではありませんか？

— dhchdhd

YaraScan runs once after Mojave update, and then deletes itself. カーネルパニックの後に実行されているので、必要に応じてシステムがリカバリドライブからロードすると仮定します。ちょっとだけ。

— シェルトン

これは1回限りの取引であることを知っておくとよいでしょう。一連の問題が発生した後、OSを更新したところ、馴染みのないウイルス関連プログラムが問題になっているのがわかりました。

— ダンロニー

私のマシンで実行した後、それ自体は絶対に削除されませんでした。ピーク時には、アクティビティモニターは80.50 GBのRAMを使用していることを示しました（私のボックスには32 GBの物理RAMがあります）。プロセスが消えるまで実行します。実行可能ファイルはまだ存在してい/System/Library/CoreServices/MRT.app/Contents/XPCServices/YaraScanService.xpcます。これはmacOS 10.13.6にあります。

— pjv

YaraScanは現在XProtect / MRT / Gatekeeperの一部です。MRTは文字通りマルウェア駆除ツールです。10.13より前は、インストーラーにあると考えていますが、同じシステム上にあり、存在しません。これを反映してこの回答を更新します。大容量のRAMの使用に関しては、これは仮想メモリであり、Xサイズのディスク上のファイルであることに注意してください（このファイルは閉じたときに常に削除されます）。MRTは、復号化されたバイトを保存するためにRAMをあまり使用せず、スペースがなくなるまでディスクにダンプして削除を心配するため、RAMよりもはるかに大きくなります。

— user1901982

10.13.6（17G65）でも実行されています。

1054  66.3  2.1 62395936 359328   ??  Us   11:48AM  10:39.14 /System/Library/CoreServices/MRT.app/Contents/XPCServices/YaraScanService.xpc/Contents/MacOS/YaraScanService

可能性が高いhttps://github.com/virustotal/yara

/apple/296339/mrt-process-using-large-unbounded-amount-of-memory

— dhchdhd
ソース

確かに。私が言えることから、YaraScanServiceはMRTの一部にすぎず、少なくとも10.13.6では、MRTは再起動のたびに実行されるようです。YaraScanService自体を常に実行するとは限りませんが、私の経験では実行しています。

— グレッグA.ウッズ

古いMacの陳腐化を促進するこのような素晴らしい方法…私：「Yaraのために私のMacが遅い！」アップル：「あなたはウイルスを持っているしたいので良いが、お使いのMacをアップグレード？」

— w00t

私はそれを削除することになりましたbc信頼できないコードを実行することはありません。Appleは、簡単に無効にする方法を提供せずにパフォーマンスに影響を与える機能を追加します（たとえば、新しいセキュリティprefpaneフィールドで管理されるplist設定）。

— dhchdhd

実際にRAMを消費することはありません。これらのファイルを読み取るときにメモリマップI / Oを使用する可能性がありますが、これはファイルコンテンツが仮想メモリスペースにマップされることを意味するだけで、実際には物理メモリが使用されることを意味しません。実際の使用法については、「アクティビティモニターの実際のメモリサイズ」を確認する必要があります。

— マット・K
ソース

実際には、RAMを使用します（また、メモリマップI / OもRAMを使用します-これが全体的なアイデアです！）実行

— グレッグA.ウッズ

これは、メモリマップファイルI / Oの仕組みではありません。ファイルをメモリアドレススペースにマップするだけで、実際にはメモリを割り当てません。64ビットプラットフォームのアドレス空間は2 ^ 64の大きさです（理論上、プラットフォームによっては一部のビットに特別な目的がある場合があります）。これは物理メモリの容量をはるかに超えています。

— マットK.

メモリマップドI / Oは、物理メモリを最も確実に「割り当て」ます。したがって、メモリを「圧迫」し、カーネルに圧縮やページアウトを強制します。コピーするために割り当てられた実際の物理メモリの特定の場所がない場合、メモリに何かを置くことはできません。仮想メモリアドレス空間は、プロセスが何らかの方法で物理メモリにアクセスするときはいつでも、特定の領域がメモリマップドI / Oのようにセカンダリストレージに裏付けられている場合でも、物理メモリに直接マップされます。

— グレッグA.ウッズ

もちろん、メモリマップファイルは物理メモリを介してアクセスされますが、これらのブロックはキャッシュのように扱われ、最初にメモリ不足に陥ります。適切なオペレーティングシステムページング実装では、大量のmmapされたページを維持しながら、アクティブなメモリページを圧縮またはスワップしません。この場合、私のコンピューター上のYaraScanServiceには20ギガバイト以上がマップされていましたが、約300 MBの物理メモリしか使用していませんでした。基本的に、メモリにマップされたファイルI / Oがメモリ負荷を引き起こすと主張することは、ディスクキャッシュがスワップとメモリ負荷を引き起こすと主張することと同じです。

— マットK.

メモリマップドI / Oは、特に一部のアクセスパターンでは、同等のバッファキャッシュよりもはるかに多くの物理メモリを必要とします。メモリプレッシャーの量（アクティビティモニターの[メモリ]タブのグラフ）と、圧縮されたメモリの増加および/またはYaraScanServiceが大規模で完全なファイルシステムと他の多くのマシンで実行中のスワップ使用量を見ると大規模なプロセスが実行されていると、スラッシングを引き起こすほどの深刻な混乱を引き起こすことがわかります。Chromeがメモリをリークして大きくなったとしても、YSSのような豚ではありません。

— グレッグA.ウッズ