Acabo de actualizar a macOS Mojave versión 10.14 Beta y he notado un nuevo proceso llamado YaraScanService. El proceso consume demasiada RAM (alrededor de 10 GB). Maté el proceso usando el Monitor de actividad, pero regresó una hora más tarde.
- ¿Qué es este proceso y qué hace exactamente?
- ¿Hay alguna manera de apagarlo y / o evitar que acapare la memoria?
Respuestas:
MRT / YaraScan es una herramienta de derechos de autor antivirus provista por MacOS. La razón de su uso obsceno de la memoria es básicamente por qué OSX no tiene un 'antivirus' formal.
Más simplemente, YaraScan es una parte de la 'suite de volatilidad' aquí; https://www.volatilityfoundation.org/about
Tenga en cuenta que un virus y material pirateado ilegalmente solo se detectan mediante un conjunto de rutas de código 'firma' y ambos a menudo dependen de errores, exploits y parches débiles, por lo que es de esperar que el antivirus moderno más fuerte se haya creado a partir de un copyright herramienta de detección de infracción.
YaraScan se ejecuta una vez después de la actualización de Mojave y luego se elimina a sí mismo. También se ha visto que persiste en ciertos sistemas MacOS dentro de MRT. La razón por la que usa tanta memoria es porque, a menos que se programe lo contrario (como en una opción de exclusión), un proceso que tiene que escanear una gran cantidad de archivos en busca de un archivo de tamaño desconocido que pueda encriptarse en dichos archivos buscados utilizará un gran cantidad de memoria inactiva para guardar todos los archivos escaneados descifrados durante un tiempo limitado en caso de que se vuelvan a necesitar. ¿Por qué? Debido a que la RAM vacía es RAM desperdiciada, quiero decir que todavía tiene que darle vatios, entonces, ¿por qué eliminar las cosas cuando algo más no quiere estar allí? Se tarda 100 veces más en recuperarlo.
Más importante aún, si Filevault o APFS, TODOS esos datos están encriptados y deben desencriptarse para ser leídos. Muchas aplicaciones realmente necesitan iniciarse y luego escanearse cuando se cargan, ya que muchos archivos pueden unirse para formar una amenaza en el espacio de memoria como un solo 'archivo concurrente'. Los virus pueden almacenarse parcialmente en un dylib para una aplicación completamente no relacionada.
Grand Central Dispatch decide activamente la cantidad de tiempo en su Mac y, tan pronto como intente utilizar un programa que necesite esa RAM lógica, intentará borrarlo. Tenga en cuenta que la memoria virtual en este caso debería ser grande, ya que todo ese material descifrado se almacena mejor allí hasta que esté literalmente sin espacio que eliminado en un pase secundario poco después de la creación repetidamente.
Este es un nuevo comportamiento en la era de los SSD para maximizar la vida útil del disco sobre la capacidad de respuesta. El comportamiento actual de GCD sugiere que las ralentizaciones provienen de una CPU rápida que crea datos descifrados más rápido de lo que se puede escribir en el disco y otras solicitudes a la RAM que tienen que esperar a que SSD / HDD termine.
fuente
YaraScan runs once after Mojave update, and then deletes itself.Se está ejecutando para mí después de un kernel panic, por lo que supongo que el sistema lo carga desde la unidad de recuperación según sea necesario. Solo para tu información./System/Library/CoreServices/MRT.app/Contents/XPCServices/YaraScanService.xpc. Esto está en macOS 10.13.6.También se ejecuta en 10.13.6 (17G65).
Parece probable https://github.com/virustotal/yara
/apple/296339/mrt-process-using-large-unbounded-amount-of-memory
fuente
Realmente no consume tu RAM. Es probable que use E / S mapeadas en memoria al leer esos archivos, pero eso solo significa que el contenido del archivo está mapeado en el espacio de memoria virtual, en realidad no significa que se use memoria física. Para el uso real, debe mirar "Tamaño de memoria real en el Monitor de actividad.
fuente