YaraScanService 这个进程占用 CPU 80%多，是什么东西？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2303 天前的主题，其中的信息可能已经有所发展或是发生改变。

我的 Mac 版本 10.13.6，今早重启后发现特别卡，打开任务管理器发现YaraScanService占用 CPU 超高，有时候可以暂用 80%以上请问有知道这个东西是干什么的吗？

第 1 条附言 · 2018-08-03 15:10:55 +08:00

根据楼下各位朋友的回复

YARA 是一个开源的恶意代码查杀引擎
是Apple Malware Removal Tool (/System/Library/CoreServices/MRT.app/)启动的进程。

但是我仍不知道，

为啥这东西突然就出现了，以前没有出现，而且这些天并没有系统更新？
也不知道这个东西到底是不是苹果的，有没有办法验证签名证明是“苹果出品”？

CPU

占用

10.13.6

Mac

12 条回复 • 2019-04-16 22:59:09 +08:00

nianbo2001

2018-08-03 10:18:40 +08:00

YARA 是一个开源的恶意代码查杀引擎，所以你知道这是在干嘛啦~

ichanne

2018-08-03 11:38:41 +08:00 via iPhone

我也有这个问题，Mac 自带的杀毒软件？？

CloudnuY

2018-08-03 12:27:23 +08:00

10.13.6 和 10.14 升级之后开机会进行杀毒，要么手动杀掉，要么等好久等他忙完。。。。。。

clavichord93

2018-08-03 13:15:42 +08:00 via iPhone

@nianbo2001 这个 macOS 自带吗？

f2f2f

2018-08-03 13:21:13 +08:00

@CloudnuY 每次注销再进入也会触发这个进程吗？我说怎么 10.13 开机 CPU 占用时长会那么高

randyzhao

2018-08-03 13:51:08 +08:00

It's from the Apple Malware Removal Tool (/System/Library/CoreServices/MRT.app/).

See In 10.14 Beta 2 - what does YaraScanService do?. ( https://forums.developer.apple.com/thread/104609)
See How do I remove Yarascan from osx? ( https://discussions.apple.com/thread/8434842)
and what is the MRT app?( https://discussions.apple.com/thread/7977140).

It's a result of the Mojave update and should stop scanning eventually. Don't remove the MRT.app if you rely on Apple's security features at all.

randyzhao

2018-08-03 13:54:34 +08:00

反正，等他扫完吧。

要么就参见我的上一条回复中的。
See How do I remove Yarascan from osx?

hounychang

2018-08-03 14:50:43 +08:00

感谢各位的回复。
@nianbo2001 @randyzhao 查询了网上的问题，但都没有官方的回复说这个东西是怎么来的，我的电脑以前没有这个问题的，突然就有了，很奇怪。不知道删了这个软件之后又没有什么问题。

nianbo2001

2018-08-03 15:40:38 +08:00

@hounychang 好像是更新系统之后悄悄装上去的，官方没有公开说可能就是里面涉及苹果私下许可的一些客户未知的非常规操作咯。反正我以前没咋注意，你今天一说我决定毙掉它…… 233333

dorentus

2018-08-03 17:15:11 +08:00

奇怪了，我这边两台 Mac Mini，都是 10.13.6 (17G65)，一台有，一台没有

数字签名显示：

Executable=/System/Library/CoreServices/MRT.app/Contents/XPCServices/YaraScanService.xpc/Contents/MacOS/YaraScanService
Identifier=com.apple.MRT.YaraScanService
Format=bundle with Mach-O thin (x86_64)
CodeDirectory v=20100 size=526 flags=0x0(none) hashes=11+3 location=embedded
Platform identifier=4
Hash type=sha256 size=32
CandidateCDHash sha256=f5b329d3ffef509249ae2fb526b30761de52c3e4
Hash choices=sha256
CDHash=f5b329d3ffef509249ae2fb526b30761de52c3e4
Signature size=4485
Authority=Software Signing
Authority=Apple Code Signing Certification Authority
Authority=Apple Root CA
Info.plist entries=20
TeamIdentifier=not set
Sealed Resources version=2 rules=13 files=2
Internal requirements count=1 size=80

看起来像是苹果自己的

TonyLiu2ca

2018-08-04 00:18:03 +08:00

是不是有 Yara 的被当做小白鼠了？

zhangzihan1989

2019-04-16 22:59:09 +08:00

挖一下。。。求问如何破？？

现在本人 iMac 也这样了，开机就跑满了然后死机，重启又因为这个进程跑死机了。。。死循环了。。