Comment attraper et supprimer les LaunchDaemons et LaunchAgents cachés sur Mac

Avez-vous déjà vécu ces frustrations sur votre Mac?

• Une application apparaît dans la barre de menus mais pas dans vos éléments de connexion.
• Safari redirige vers des sites publicitaires ou modifie sa page d’accueil sans votre permission.
• Les processus inconnus consomment du CPU en arrière-plan.

Malheureusement, avec ces types d’événements inattendus, la suppression de l’application des éléments de connexion n’est pas suffisante pour résoudre le problème. Il existe de nombreux composants cachés sous-jacents, et Apple ne les expose pas dans l’interface macOS typique.

Nous allons montrer comment vous pouvez surveiller et prendre des mesures contre ces éléments de connexion masqués pour résoudre les problèmes Mac uniques.

Comprendre la routine de démarrage de macOS

Lorsque vous appuyez sur le bouton d’alimentation, votre Mac démarre avec une série d’événements familiers:

• Vous entendez un son de démarrage audible (les nouveaux Mac ne le font pas).
• Le logo Apple apparaît avec la barre de progression.
• Vous voyez l’écran de connexion apparaître lorsque cela se termine (ou le bureau si vous avez activé la connexion automatique).

Dans les coulisses, macOS démarre le launchd processus. Il est chargé de démarrer, d’arrêter et de gérer tous les autres processus, y compris le système et les comptes d’utilisateurs individuels. Le processus est hautement optimisé et ne prend que quelques instants.

Pour l’examiner vous-même, ouvrez le Moniteur d’activité application et choisissez Affichage> Tous les processus. En haut, vous verrez deux processus principaux: kernel_task et launchd, avec leurs ID de processus (PID) 0 et 1.

Cela montre que launchd est le processus parent principal au démarrage du système. Il s’agit également du dernier processus à quitter lorsque le système s’arrête.

La responsabilité principale de launchd consiste à lancer d’autres processus ou travaux sur une base planifiée ou à la demande. Il en existe deux types: LaunchDaemons et LaunchAgents.

Que sont les LaunchDaemons et LaunchAgents?

LaunchDaemons s’exécute généralement en tant que root, que l’utilisateur soit connecté ou non. Ils ne peuvent pas afficher d’informations à l’aide de l’interface utilisateur graphique et affecter l’ensemble du système.

Par exemple, le locationd processus détecte l’emplacement géographique du Mac, tandis que bluetoothd processus gère Bluetooth. La liste des démons vit aux endroits suivants:

• /System/Library/LaunchDaemons pour les processus macOS natifs
• /Library/LaunchDaemons pour les applications tierces installées

Les LaunchAgents démarrent lorsqu’un utilisateur se connecte. Contrairement aux démons, ils peuvent accéder à l’interface utilisateur et afficher des informations. Par exemple, une application de calendrier peut surveiller les événements du compte de calendrier de l’utilisateur et vous avertir lorsque l’événement se produit. La liste des agents réside aux endroits suivants:

• /Library/LaunchAgents pour tous les comptes d’utilisateurs
• ~/Library/LaunchAgents pour un compte utilisateur spécifique
• /System/Library/LaunchAgents pour macOS uniquement

Avant de vous connecter, launchd exécute les services et autres composants spécifiés dans les fichiers PLIST à partir du dossier LaunchDaemons. Une fois connecté, launchd exécutera les services et composants définis dans les fichiers PLIST à partir des dossiers LaunchAgents. Ceux en / Système / Bibliothèque font tous partie de macOS et sont protégés par System Integrity Protection.

Les fichiers de préférences suivent le système de nommage de domaine inversé standard. Il commence par le nom de l’entreprise, suivi d’un identifiant d’application, et se termine par l’extension de fichier de liste de propriétés (.PLIST). Par exemple, at.obdev.LittleSnitchHelper.plist est le fichier d’aide pour l’application LittleSnitch.

Comment capturer LaunchDaemons et LaunchAgents

Contrairement à ceux du Système dossier, le public LaunchDaemon et LaunchAgent les dossiers sont ouverts aux applications légitimes et illégitimes. Vous pouvez surveiller ces dossiers automatiquement avec les actions sur les dossiers.

Ouvrez le Éditeur AppleScript en la recherchant dans Spotlight. Cliquez sur Préférences et choisissez Général> Afficher le menu Script dans la barre de menus.

Clique le Menu Script icône et choisissez Actions sur les dossiers> Activer les actions sur les dossiers. Sélectionnez ensuite Attacher un script au dossier dans ce même menu.

Une boîte de dialogue apparaîtra. De là, sélectionnez ajouter – alerte de nouvel article.

Cliquez sur D’accord pour ouvrir une fenêtre du Finder. Sélectionnez maintenant le dossier utilisateur LaunchDaemon (répertorié ci-dessus) et cliquez sur Choisir.

Répétez la procédure ci-dessus pour chaque dossier LaunchAgents.

Une fois terminé, ouvrez le Finder et cliquez sur Aller> Aller au dossier ou appuyez sur Maj + Cmd + G pour ouvrir la boîte de dialogue de navigation. Type ~ / Bibliothèque / LaunchAgents et cliquez Aller.

Cliquez avec le bouton droit sur le LaunchAgents dossier et choisissez Services> Configuration des actions sur les dossiers pour lier le nouveau script d’alerte d’élément à chaque dossier.

Dans la boîte de dialogue qui apparaît, vous verrez la liste des dossiers dans la colonne de gauche et le script dans la colonne de droite. Si vous ne voyez aucun script, cliquez sur le Plus bouton et ajouter nouvel élément alert.scpt.

Envisagez de surveiller ces dossiers avec des applications

Si vous souhaitez des options supplémentaires pour les alertes sur ces dossiers, vous pouvez essayer quelques outils tiers.

EtreCheck est un outil de diagnostic macOS qui affiche l’état de chargement des LaunchDaemons et LaunchAgents tiers, entre autres informations. Lorsque vous exécutez EtreCheck, il recueille diverses informations sur votre Mac et les présente dans un rapport facile à lire. Il propose également des options d’aide supplémentaires pour les logiciels publicitaires, les démons et agents suspects, les fichiers non signés, etc.

Ouvrez EtreCheck et cliquez sur Analyse. Cela prendra quelques minutes et une fois terminé, vous verrez un résumé complet de votre ordinateur. Cela inclut les problèmes majeurs et mineurs, les spécifications matérielles, les problèmes de compatibilité logicielle, l’état de LaunchDaemons et LaunchAgents, et plus encore.

L’application est gratuite pour les cinq premiers rapports, puis nécessite un achat intégré de 10 $ pour une utilisation continue.

Lingon X est un autre outil qui vous permet de démarrer une application, un script ou d’exécuter une commande automatiquement selon un calendrier. Il peut également surveiller tous les dossiers LaunchDaemons et LauchAgents en arrière-plan et afficher une notification lorsque quelque chose change. Vous pouvez voir tous les éléments graphiquement et les ajuster selon vos besoins.

Cet outil est gratuit à essayer et coûte 15 $ pour une licence complète.

Comment supprimer LaunchDaemons et LaunchAgents

Le public / Bibliothèque / LaunchAgents et / Bibliothèque / LaunchDaemons les dossiers sont vulnérables aux applications légitimes et illégitimes. Une application légitime peut l’utiliser pour le marketing, tandis que des applications illégales peuvent les utiliser pour voler des données et infecter le système.

Pour que les logiciels publicitaires et les logiciels malveillants réussissent, ils doivent persister dans chaque session utilisateur. Pour ce faire, les auteurs de logiciels malveillants et de logiciels publicitaires créent un code malveillant et le placent dans le dossier LaunchAgent ou LaunchDaemon. Chaque fois que votre Mac démarre, launchd s’assurera que le code malveillant s’exécute automatiquement. Heureusement, les applications de sécurité peuvent vous protéger contre cela.

Utiliser les applications de sécurité Mac

Le libre Toc Toc fonctionne sur le principe de la persistance. Il répertorie les applications installées de manière persistante et leurs composants dans une interface soignée. Clique le Analyse et KnockKnock analysera tous les emplacements connus où des logiciels malveillants pourraient être présents.

Le volet gauche contient les catégories d’applications persistantes, avec des noms et une brève description. Cliquez sur n’importe quel groupe pour afficher les éléments dans le volet droit. Par exemple, cliquez sur Lancer des objets dans le volet gauche pour afficher tous les LaunchAgents et LaunchDaemons.

Chaque ligne donne des informations détaillées sur l’application. Cela inclut l’état signé ou non signé, le chemin d’accès au fichier et les résultats de l’analyse antivirus de VirusTotal.

Une autre application de sécurité gratuite d’Objective-See, BlockBlock surveille en permanence les sites de persistance. L’application s’exécute en arrière-plan et vous affiche une alerte chaque fois qu’un logiciel malveillant ajoute un composant persistant à macOS.

Cependant, tous les fichiers PLIST tiers ne sont pas malveillants. Ils peuvent provenir de n’importe où, notamment:

• Composants des applications installées
• Restes d’anciennes applications que vous n’utilisez plus
• Restes des précédentes mises à niveau de macOS
• Restes de l’assistant de migration
• PPI (programmes potentiellement indésirables), logiciels publicitaires et logiciels malveillants.

Vous ne souhaitez supprimer aucun composant des applications installées. Cependant, il est parfaitement sûr de supprimer les restes des anciennes applications et les restes des mises à niveau précédentes de macOS (sauf si vous souhaitez continuer à utiliser ces applications).

Il n’y a pas de processus de désinstallation unique pour cela – il suffit de jeter le fichier PLIST et de redémarrer. Ou vous pouvez le couper et le coller sur votre bureau pour en avoir une copie et être en sécurité. Ne supprimez aucun élément du Lancement du systèmeAgents ou LaunchDaemons dossiers, car ils sont nécessaires au bon fonctionnement de macOS.

Les adwares et les PPI sont notoirement difficiles à gérer. Chaque fois que vous avez un doute, exécutez le version gratuite de Malwarebytes et envisagez de passer à Malwarebytes Premium si vous avez besoin d’une protection supplémentaire.

Restez prudent face aux menaces de lancement sur Mac

Si vous suivez ces étapes, vous saurez à l’avance les nouvelles menaces et pourrez résoudre tout problème. Les adwares et les PPI gagnent en popularité, avec de nouvelles variantes de malwares qui arrivent tout le temps.

Heureusement, macOS a de nombreuses façons de vous protéger.

L’astuce consiste à surveiller ces dossiers et à exécuter des vérifications de diagnostic fréquentes. En cas de doute, recherchez toujours les noms de processus potentiellement malveillants sur Google. Mais si vous évitez les erreurs qui infectent votre Mac avec des logiciels malveillants, vous ne devriez pas vous inquiéter.