รายการเปิดตัวเข้าสู่ระบบที่ซ่อนอยู่สามารถก่อให้เกิดปัญหาทุกประเภทให้กับผู้ใช้ Mac แอปอาจปรากฏในแถบเมนูแตไม่ในรายการเปิดตัวเข้าสู่ระบบ Safari อาจเปลี่ยนเส้นทางไปยังเว็บไซต์โฆษณาหรือเปลี่ยนหน้าแรกโดยไม่ได้รับอนุญาต และกระบวนการที่ไม่รู้จักสามารถดึงทรัพยากรระบบในพื้นหลัง
น่าเสียดายที่กับเหตุการณ์ที่ไม่คาดคิดเหล่านี้ การลบแอปออกจากรายการเปิดตัวเข้าสู่ระบบไม่เพียงพอที่จะแก้ปัญหา เนื่องจากมี LaunchDaemons และ LaunchAgents ที่ซ่อนอยู่ทำให้พวกมันคงอยู่ ซึ่งไม่สามารถเข้าถึงได้ผ่านอินเทอร์เฟซ macOS ทั่วไป
ที่นี่ เราจะแสดงวิธีที่คุณสามารถตรวจสอบและดำเนินการต่อ LaunchDaemons และ LaunchAgents ที่ซ่อนอยู่เหล่านี้เพื่อแก้ไขปัญหา Mac ที่เฉพาะเจาะจง
การเข้าใจขั้นตอนการเริ่มต้นของ macOS
เมื่อคุณกดปุ่มเปิดพาวเวอร์ Mac ของคุณจะบูทอัพพร้อมกับชุดเหตุการณ์ที่คุ้นเคย:
- คุณได้ยินเสียงเริ่มต้นที่ได้ยินได้
- โลโก้ Apple ปรากฏ พร้อมกับแถบความคืบหน้า
- คุณเห็นหน้าจอเข้าสู่ระบบปรากฏเมื่อเสร็จสิ้น (หรือเดสก์ท็อป หากคุณเปิดใช้งานการเข้าสู่ระบบอัตโนมัติ)
เบื้องหลัง macOS เริ่มกระบวนการ launchd ซึ่งรับผิดชอบในการเริ่ม หยุด และจัดการทุกกระบวนการอื่นๆ รวมถึงระบบและบัญชีผู้ใช้แต่ละราย กระบวนการนี้ได้รับการเพิ่มประสิทธิภาพสูงและใช้เวลาเพียงไม่กี่ลحظة
เพื่อตรวจสอบด้วยตัวเอง ให้เปิดแอป Activity Monitor และเลือก View > All Processes ที่ด้านบน คุณจะเห็นกระบวนการหลักสองกระบวนการ: kernel_task และ launchd ด้วย Process ID (PID) เป็น 0 และ 1
นี่แสดงว่า launchd เป็นกระบวนการพาเรนต์หลักเมื่อระบบเริ่มต้น มันยังเป็นกระบวนการสุดท้ายที่ออกเมื่อระบบปิด
หน้าที่หลักของ launchd คือการเปิดกระบวนการหรืองานอื่นๆ ตามตารางหรือตามความต้องการ สิ่งเหล่านี้มีสองประเภท: LaunchDaemons และ LaunchAgents
LaunchDaemons และ LaunchAgents คืออะไร?
LaunchDaemons ทำงานโดยทั่วไปในฐานะ root หมายความว่าพวกมันทำงานไม่ว่าผู้ใช้จะล็อกอินหรือไม่ก็ตาม พวกมันไม่สามารถแสดงข้อมูลโดยใช้ graphical user interface และส่งผลต่อระบบทั้งหมด
ตัวอย่างเช่น กระบวนการ locationd ตรวจจับตำแหน่งทางภูมิศาสตร์ของ Mac ในขณะที่กระบวนการ bluetoothd จัดการ Bluetooth รายการของ daemons อยู่ในตำแหน่งต่อไปนี้:
- /System/Library/LaunchDaemons สำหรับกระบวนการ macOS ต้นทาง
- /Library/LaunchDaemons สำหรับแอป協力廠商ที่ติดตั้ง
Mac LaunchAgents เริ่มต้นเมื่อผู้ใช้ล็อกอิน แตกต่างจาก daemons พวกมันสามารถเข้าถึง user interface และแสดงข้อมูลได้ ตัวอย่างเช่น แอปปฏิทินสามารถตรวจสอบบัญชีปฏิทินของผู้ใช้สำหรับกิจกรรมและแจ้งเตือนคุณเมื่อกิจกรรมเกิดขึ้น รายการของ agents อยู่ในตำแหน่งต่อไปนี้:
- /Library/LaunchAgents สำหรับบัญชีผู้ใช้ทั้งหมด
- ~/Library/LaunchAgents สำหรับบัญชีผู้ใช้เฉพาะ
- /System/Library/LaunchAgents สำหรับ macOS เท่านั้น
ก่อนที่คุณจะล็อกอิน launchd รันบริการและองค์ประกอบที่ระบุในไฟล์ .plist จากโฟลเดอร์ LaunchDaemons เมื่อคุณล็อกอินแล้ว launchd จะรันบริการและองค์ประกอบที่กำหนดในไฟล์ .plist จากโฟลเดอร์ LaunchAgents สิ่งที่อยู่ใน /System/Library เป็นส่วนหนึ่งของ macOS ทั้งหมดและได้รับการคุ้มครองโดย System Integrity Protection
ไฟล์ preference .plist ปฏิบัติตามระบบการตั้งชื่อโดเมนย้อนกลับมาตรฐาน เริ่มต้นด้วยชื่อบริษัท ตามด้วยตัวระบุแอปพลิเคชัน และลงท้ายด้วยนามสกุลไฟล์ property list (.plist) ตัวเช่น co.clario.Clario.plist เป็นไฟล์ช่วยสำหรับแอป Clario
วิธีจับ LaunchDaemons และ LaunchAgents
ไม่เหมือนกับในโฟลเดอร์ System โฟลเดอร์ LaunchDaemon และ LaunchAgent สาธารณะเปิดให้ทั้งแอปที่ถูกต้องและไม่ถูกต้อง คุณสามารถตรวจสอบโฟลเดอร์เหล่านี้โดยอัตโนมัติด้วย Folder Actions
เปิดแอป AppleScript Editor โดยการค้นหาใน Spotlight คลิก Preferences และเลือก General > Show Script menu in menu bar
คลิกไอคอน Script Menu และเลือก Folder Actions > Enable Folder Actions จากนั้นเลือก Attach Script to Folder ในเมนูเดียวกันนั้น
กล่องโต้ตอบจะปรากฏขึ้น จากที่นี่ ให้เลือก add - new item alert
คลิก OK เพื่อเปิดหน้าต่าง Finder ตอนนี้เลือกโฟลเดอร์ LaunchDaemon ของผู้ใช้ (ที่ระบุไว้ข้างต้น) และคลิก Choose
ทำซ้ำขั้นตอนข้างต้นสำหรับโฟลเดอร์ LaunchAgents ทุกโฟลเดอร์บน Mac ของคุณเช่นกัน
เมื่อเสร็จแล้ว ให้เปิด Finder และคลิก Go > Go to Folder หรือกด Shift + Cmd + G เพื่อเปิดกล่องโต้ตอบนำทาง พิมพ์ ~/Library/LaunchAgents และคลิก Go
คลิกขวาที่โฟลเดอร์ LaunchAgents และเลือก Services > Folder Actions Setup เพื่อผูกสคริปต์ new item alert กับแต่ละโฟลเดอร์
ในกล่องโต้ตอบที่ปรากฏ คุณจะเห็นรายการโฟลเดอร์ในคอลัมน์ซ้ายและสคริปต์ในคอลัมน์ขวา หากคุณไม่เห็นสคริปต์ใดๆ ให้คลิกปุ่ม บวก (+) และเพิ่ม new item alert.scpt
หลังจากปฏิบัติตามขั้นตอนเหล่านี้ macOS จะแสดงป๊อปอัพเตือนทุกครั้งที่มีรายการใหม่ถูกเพิ่มเข้าไปในหนึ่งในโฟลเดอร์เหล่านี้ ช่วยให้คุณเห็นแอปที่ไม่ถูกต้องที่พยายามฉีดตัวเองเข้าไปในระบบของคุณในพื้นหลัง
พิจารณาตรวจสอบโฟลเดอร์เหล่านี้ด้วยแอป
หากคุณต้องการตัวเลือกเพิ่มเติมสำหรับการแจ้งเตือนบนโฟลเดอร์เหล่านี้ คุณสามารถลองเครื่องมือ協力廠商 몇 อย่าง
EtreCheck เป็นเครื่องมือวินิจฉัย macOS ที่แสดงสถานะการโหลดของ LaunchDaemons และ LaunchAgents ของ協力廠商 รวมถึงข้อมูลอื่นๆ เมื่อคุณรัน EtreCheck มันจะรวบรวมข้อมูลหลากหลายเกี่ยวกับ Mac ของคุณและนำเสนอในรายงานที่อ่านง่าย มันยังมีตัวเลือกช่วยเหลือเพิ่มเติมเมื่อจัดการกับแอดแวร์ daemons และ agents ที่น่าสงสัย ไฟล์ที่ไม่ได้ลงนาม และอื่นๆ
เปิด EtreCheck และคลิก Scan นี่จะใช้เวลานานหนึ่งสองนาที และเมื่อเสร็จแล้ว คุณจะเห็นสรุปเต็มรูปแบบของคอมพิวเตอร์ของคุณ รวมถึงปัญหาหลักและรอง ข้อกำหนดฮาร์ดแวร์ ความเข้ากันได้ของซอฟต์แวร์ สถานะของ LaunchDaemons และ LaunchAgents และอื่นๆ
แอปนี้ฟรีสำหรับรายงาน 5 ครั้งแรก แล้วต้องซื้อในแอปราคา $17.99 สำหรับการใช้งานต่อไป
Lingon X เป็นเครื่องมืออีกตัวที่ให้คุณเริ่มแอป สคริปต์ หรือรันคำสั่งโดยอัตโนมัติตามตาราง มันยังสามารถตรวจสอบโฟลเดอร์ LaunchDaemons และ LaunchAgents ทั้งหมดในพื้นหลังและแสดงการแจ้งเตือนเมื่อมีการเปลี่ยนแปลง คุณสามารถเห็นรายการทั้งหมดแบบกราฟิกและปรับแต่งได้ตามต้องการ
เครื่องมือนี้ลองใช้ฟรี แตเต็มสิทธิ์ราคา $14.99
วิธีลบ LaunchDaemons และ LaunchAgents
โฟลเดอร์ /Library/LaunchAgents และ /Library/LaunchDaemons สาธารณะเปิดต่อทั้งแอปที่ถูกต้องและไม่ถูกต้อง แอปที่ถูกต้องอาจใช้พวกมันสำหรับการตลาด ในขณะที่แอปมัลลิเชียสสามารถใช้พวกมันขโมยข้อมูลและติดเชื้อ Mac ของคุณ
เพื่อให้แอดแวร์และมัลแวร์ประสบความสำเร็จ พวกมันต้องคงอยู่ในทุกเซสชันผู้ใช้ ในการทำเช่นนี้ ผู้เขียนมัลแวร์และแอดแวร์สร้างโค้ดมัลลิเชียสและวางมันในโฟลเดอร์ LaunchAgent หรือ LaunchDaemon ทุกครั้งที่ Mac ของคุณเริ่มต้น launchd จะรับรองว่าโค้ดมัลลิเชียสทำงานโดยอัตโนมัติ โชคดีที่แอปความปลอดภัยสามารถช่วยป้องกันสิ่งนี้ได้
ใช้แอปความปลอดภัย Mac
แอป KnockKnock ฟรี ทำงานหลักการของความคงอยู่ มันแสดงรายการแอปที่ติดตั้งอย่างถาวรและองค์ประกอบของพวกมันในอินเทอร์เฟซที่เรียบร้อย คลิกปุ่ม Scan และ KnockKnock จะสแกนทุกตำแหน่งที่รู้จักที่มัลแวร์อาจอยู่
แผงซ้ายมีหมวดหมู่ของแอปที่ถาวร พร้อมชื่อและคำอธิบายสั้นๆ คลิกที่กลุ่มใดกลุ่มหนึ่งเพื่อแสดงรายการในแผงขวา ตัวอย่างเช่น คลิก Launch Items ในแผงซ้ายเพื่อดู LaunchAgents และ LaunchDaemons ทั้งหมด
แต่ละแถวให้ข้อมูลรายละเอียดเกี่ยวกับแอป รวมถึงสถานะลงนามหรือไม่ได้ลงนาม เส้นทางไปยังไฟล์ และผลการสแกนแอนตี้ไวรัสจาก VirusTotal
BlockBlock เป็นแอปความปลอดภัยฟรีอีกตัวจาก Objective-See ที่ตรวจสอบตำแหน่งความคงอยู่อย่างต่อเนื่อง แอปนี้ทำงานในพื้นหลังและแสดงการแจ้งเตือนให้คุณทุกครั้งที่มัลแวร์เพิ่มองค์ประกอบที่ถาวรเข้าไปใน macOS
ไม่ใช่ทุกไฟล์ .plist ของ協力廠商ที่เป็นมัลลิเชียส พวกมันอาจมาจากที่ไหนก็ได้ รวมถึง:
- องค์ประกอบของแอปที่ติดตั้ง
- ซากของแอปเก่าที่คุณไม่ได้ใช้แล้ว
- ซากจากการอัปเกรด macOS ก่อนหน้า
- ซากจาก Migration Assistant
- PUPs (โปรแกรมที่อาจไม่พึงประสงค์), แอดแวร์ และมัลแวร์
คุณไม่ต้องการลบองค์ประกอบของแอปที่ติดตั้ง อย่างไรก็ตาม การลบซากของแอปเก่าและซากจากการอัปเกรด macOS ก่อนหน้านั้นปลอดภัย (หากคุณไม่ต้องการใช้แอปเหล่านั้นต่อไป)
ไม่มีกระบวนการถอนการติดตั้งที่เฉพาะเจาะจงสำหรับนี้—เพียงแค่ทิ้งไฟล์ .plist ไปที่ถังขยะและรีบูท Mac หรือคุณสามารถตัดและวางมันไปที่เดสก์ท็อปเพื่อเก็บสำเนาไว้เพื่อความปลอดภัย อย่าลบรายการใดๆ จากโฟลเดอร์ System LaunchAgents หรือ System LaunchDaemons เพราะมันจำเป็นสำหรับการทำงานของ macOS ได้อย่างราบรื่น
แอดแวร์และ PUPs มีชื่อเสียงเรื่องยากที่จะจัดการ ทุกครั้งที่คุณสงสัย ให้รัน
เวอร์ชันฟรีของ Malwarebytes และพิจารณาอัปเกรดเป็น Malwarebytes Premium หากคุณต้องการการป้องกันเพิ่มเติม
อยู่ในภาวะระมัดระวังต่อภัยคุกคามการเริ่มต้นบน Mac
หากคุณปฏิบัติตามขั้นตอนเหล่านี้ คุณจะรู้ถึงภัยคุกคามใหม่ล่วงหน้าและสามารถแก้ไขปัญหาได้ แอดแวร์และ PUPs กำลังเพิ่มขึ้นในความนิยม พร้อมกับเวเรียนใหม่ของมัลแวร์ที่เกิดขึ้นตลอดเวลา โชคดีที่ macOS มีวิธีมากมายในการเก็บคุณไว้ปลอดภัย
เคล็ดลับคือการตรวจสอบโฟลเดอร์เหล่านี้และรันการตรวจสอบวินิจฉัยบ่อยๆ หากคุณสงสัย ให้ Google ชื่อกระบวนการที่อาจเป็นมัลลิเชียสเสมอ แตหากคุณหลีกเลี่ยงข้อผิดพลาดที่นำไปสู่มัลแวร์บน Mac ของคุณ คุณไม่ควรต้องกังวล
