”Spionprogram” täcker tre ganska olika saker på en Mac, och rätt svar på var och en är olika. Att klumpa ihop dem är så folk hamnar i att köpa fel verktyg eller, värre, ta ett steg som försätter dem i större fara. Den här artikeln skiljer på de tre, listar de tecken som faktiskt är värda att leta efter, pekar på de vägar till borttagning som pålitliga källor rekommenderar, och säger sedan var en brandvägg per app som FireAI passar in och, lika tydligt, var den inte gör det. FireAI upptäcker inte spionprogram på disk och tar inte bort dem.
Tre sorters spionprogram
Stalkerware är kommersiell programvara som installeras av någon som har, eller har haft, tillgång till din Mac och ditt lösenord: en partner, en familjemedlem, en arbetsgivare. Coalition Against Stalkerware, grundad 2019 av organisationer mot våld i nära relationer och säkerhetsföretag, definierar det som verktyg som ”gör det möjligt för någon att i hemlighet spionera på en annan persons privatliv”, som körs dolt och utan den drabbades samtycke. Det säljs ofta under etiketten föräldrakontroll eller övervakning av anställda, och det rapporterar tillbaka till den som installerade det.
Infostealers är motsatsen på alla sätt: automatiserade, opersonliga och snabba. De anländer som en knäckt app, en falsk uppdatering eller en nedladdning som marknadsförs via en sökannons, ber om ditt inloggningslösenord i en övertygande dialogruta, kopierar webbläsarens lösenord, cookies och plånboksfiler, laddar upp paketet i ett svep och raderar ofta sig själva. Det finns ingen pågående övervakning att lägga märke till; skadan är gjord på några sekunder.
Kommersiella spionprogram av legosoldattyp är de sällsyntaste och de mest kapabla. Apples sida om hotaviseringar beskriver dessa attacker som ”exceptionellt välfinansierade” och ”vida mer sofistikerade än vanlig cyberbrottslighet”, historiskt förknippade med statliga aktörer och företag som NSO Group, vars verktyg Pegasus Citizen Lab har dokumenterat i detalj, och riktade mot journalister, aktivister, politiker och diplomater. Apple säger rakt ut att ”den stora majoriteten av användare aldrig kommer att bli måltavlor”.
De tecken som faktiskt betyder något
De flesta listor över ”tecken på att din Mac är infekterad” är utfyllda med symtom (seghet, värme, ett varmt batteri) som beskriver nästan varje Mac med en webbläsare öppen. Moderna spionprogram är gjorda för att vara tysta, och de användbara tecknen är strukturella snarare än prestandarelaterade:
- Behörigheter du inte har gett. Öppna Systeminställningar, Integritet och säkerhet, och läs listorna Hjälpmedel, Inmatningsövervakning, Skärm- och systemljudinspelning, Full diskåtkomst och Mikrofon, som Apple dokumenterar i Ändra inställningar för Integritet och säkerhet på Mac. Stalkerware behöver dessa för att logga tangenttryckningar och fånga skärmen, och ett namn du inte känner igen i de listorna är det enskilt mest konkreta tecken som finns.
- Objekt som startar av sig själva. Under Allmänt, Inloggningsobjekt och tillägg, listar Apple appar som öppnas vid inloggning och appar som får köras i bakgrunden. Allt du inte själv lagt till hör hemma på din lista över frågor.
- Konfigurationsprofiler eller enhetshantering du inte har registrerat dig för, synliga under Integritet och säkerhet, Profiler.
- Webbläsartillägg du inte har installerat, och en ändrad standardsökmotor.
- En hotavisering från Apple, levererad via e-post till adressen för ditt Apple-konto och som en banner på account.apple.com efter inloggning. Apple säger att dessa är varningar med hög tillförlitlighet; Apple varnar också för att de aldrig ber dig öppna en länk eller installera något i dem.
- Utgående anslutningar från en process du aldrig hört talas om, särskilt vid inloggning eller enligt ett fast schema. Det är här en nätverksövervakare förtjänar sin plats, och det är det tecken som de andra fem inte kan visa dig.
Ytterligare en varning om tecken: frånvaro av bevis är inte bevis på frånvaro. En Mac med rena behörighetslistor och inga okända inloggningsobjekt kan ändå ha träffats av en infostealer som gjorde sitt jobb och raderade sig själv för flera veckor sedan, vilket är varför en lösenordshanterare, unika lösenord och tvåfaktorsautentisering på varje konto betyder mer än någon kontroll i efterhand. Om du hittar något av tecknen ovan, byt dina lösenord från en annan enhet innan du gör något annat på den misstänkta datorn.
Vad Apple tillhandahåller
Två Apple-mekanismer är direkt relevanta. Låst läge (Lockdown Mode), tillgängligt på macOS Ventura och senare, är ett avsiktligt byte av bekvämlighet mot mindre angreppsyta: de flesta typer av bilagor i Meddelanden blockeras, komplexa webbtekniker stängs av, FaceTime-samtal från personer du inte nyligen ringt avvisas, trådbundna tillbehör kräver att datorn är upplåst, och konfigurationsprofiler kan inte installeras. Apple beskriver det som avsett för personer som utsätts för ”extremt sällsynta och mycket sofistikerade” attacker, och när Citizen Lab rapporterade angreppskedjan BLASTPASS 2023 sade både de och Apple att de trodde att låst läge blockerade just den attacken.
Den andra är XProtect, som Apples Platform Security Guide beskriver som något som upptäcker och tar bort kända familjer av fientlig programvara när de startas eller när nya signaturer anländer. Det täcker infostealers och stalkerware-produkter som Apple redan har katalogiserat, tyst, och det är därför att hålla macOS uppdaterat är det första och billigaste förebyggande steget. Det täcker inte en produkt som Apple ännu inte har lagt till en regel för.
Hur du kontrollerar, och vad som tar bort det
För en första, kostnadsfri titt på vad som är inställt att köras beständigt listar den ideella Objective-See Foundations KnockKnock launch agents och daemons, inloggningsobjekt, webbläsartillägg, cron-jobb och andra persistensplatser, visar varje objekts kodsigneringsstatus och kan kontrollera dem mot VirusTotal. Det besvarar frågan ”vem finns där?” snarare än att ta bort något, vilket i ett stalkerware-fall ofta är precis vad du vill innan du bestämmer vad du ska göra.
För borttagning av kända familjer av spionprogram och infostealers erbjuder Malwarebytes för Mac en gratis skanner som företaget beskriver som ett saneringsverktyg för infektioner som redan har inträffat. För allt du inte kan identifiera eller rensa är Apple Support rätt första samtal, och den sista utvägen Apple dokumenterar är en ren ominstallation av macOS från Återställning efter att du säkerhetskopierat dina filer, och sedan återställa bara dokument, inte appar, från den säkerhetskopian.
Två fall kräver en annan ordningsföljd. Om du misstänker stalkerware installerat av någon som står dig nära råder Coalition Against Stalkerware och organisationer mot våld i nära relationer att tänka på säkerheten före borttagning: att ta bort programvaran uppmärksammar personen som installerade den, och bevis på maskinen kan ha betydelse senare. Om du får en hotavisering från Apple är Apples eget råd att aktivera låst läge, uppdatera varje enhet och kontakta Access Now Digital Security Helpline, en kostnadsfri tjänst dygnet runt för personer i riskzonen. Kommersiella spionprogram av legosoldattyp är ett jobb för forensiska specialister, inte för en skanner.
Att hålla det ute
Förebyggande är mest en kort lista med vanor som Apples egen dokumentation stöder. Installera uppdateringar samma dag de släpps. Kringgå inte Gatekeeper för att köra en app från en okänd utvecklare; Apples supportsida om den dialogrutan kallar det för det vanligaste sättet en Mac blir infekterad på. Skriv aldrig ditt inloggningslösenord i en dialogruta som visas av en app du just laddat ner. Använd ett separat standardkonto (utan administratörsrättigheter) för det dagliga arbetet. Gå igenom behörighetslistorna under Integritet och säkerhet med några månaders mellanrum, och ta bort det du inte använder. Om ditt arbete utsätter dig för risk, slå på låst läge och acceptera friktionen.
Det steg inget av detta täcker är nätverket. Varje sorts spionprogram, från den billigaste stalkerware-produkten till Pegasus, måste rapportera till någon, och det gör det genom en utgående anslutning från en process på din Mac. En brandvägg per app ställer det steget framför dig. I FireAI får en app som aldrig anslutit tidigare en behörighetsfråga med förklaringen från modellen på datorn, så ett övervakningsverktyg som installerats medan du var borta kan inte ringa hem i tysthet första gången. Dess hotunderrättelseflöden (abuse.ch, Spamhaus, Phishing Army, OpenPhish, FireHOL och de aktuella Tor-utgångsnoderna) avvisar kända fientliga mål lokalt, utan att din trafik lämnar datorn. Läget Paranoid blockerar osignerade appar, telemetri och spårare som standard, och livekartan visar vart varje anslutning går, vilket är ett snabbt sätt att märka en obekant process som pratar med ett obekant land. Skyddet mot okrypterade data stoppar ett kortnummer, ett lösenord eller en API-nyckel från att lämna datorn över okrypterad HTTP, vilket är så en del billigare stalkerware fortfarande rapporterar.
Begränsningarna förtjänar samma tydlighet. FireAI skannar inte filer, upptäcker inte spionprogram på disk och tar inte bort någonting. Spionprogram som gömmer sig inuti en app du redan har tillåtit, eller som skickar krypterad trafik till ett mål med rent rykte, skiljs inte från vanlig trafik. Kommersiella spionprogram som körs inuti en systemprocess ärver den processens behörigheter. En brandvägg ger dig insyn i det enda steg spionprogram inte kan hoppa över; borttagning är en uppgift för de verktyg och personer som nämns ovan, och förebyggandet börjar med de vanor kring konton, uppdateringar och behörigheter som inte kostar någonting alls.
Var FireAI och HisnLabs kommer in
FireAI does not find or remove spyware; what it gives you is the one signal every spyware family shares, the moment an unfamiliar process on your Mac tries to report to someone, with the choice to say no.
FireAI är HisnLabs eget verktyg: en AI-brandvägg som körs direkt på din Mac. Den visar varje anslutning dina appar gör, på klarspråk, och låter dig avgöra vad som lämnar din Mac — AI:n körs lokalt, så din trafik skickas aldrig till oss eller någon annan. HisnLabs säkerhetsforskningsteam är de som håller de bedömningarna tillförlitliga: de katalogiserar vilka domäner som är vanlig telemetri och vilka som är en riktig tjänst, spårar land och nätverk bakom en anslutning och tränar den lokala modellen (Autopilot-funktionen) på verkliga trafikmönster — utan att något av det lämnar din Mac.
Du kan läsa om de tekniska besluten bakom, eller prova FireAI i 17 dagar, på FireAI, från HisnLabs.