20260217

XProtectアップデート　5329 ／ macOS26.3 アップデート


前回の5327から１つ飛ばして5329です
XProtect.bundleは２箇所にあります
通常系とiCloud系です
/Library/Apple/System/Library/CoreServices/XProtect.bundle
/private/var/protected/xprotect/XProtect.bundle

アップデートは２系統
xprotectとsoftwareupdateです
まずは
xprotect

サンプルソース（参考）
行番号ソース
001アップデートは２系統
002xprotectとsoftwareupdateです
003まずは
004xprotect
005
006#アップデート前
007#チェック
008/usr/bin/sudo /usr/bin/xprotect check
009#バージョン
010/usr/bin/xprotect version
011#アップデート
012/usr/bin/sudo /usr/bin/xprotect update
013
014#アップデート後
015#チェック
016/usr/bin/sudo /usr/bin/xprotect check
017#バージョン
018/usr/bin/xprotect version
019#ステータス
020/usr/bin/xprotect status
AppleScriptで生成しました
softwareupdateは
サンプルソース（参考）
行番号ソース
001#リスト
002/usr/sbin/softwareupdate --list --recommended --include-config-data
003#ダウンロード
004/usr/sbin/softwareupdate --download --recommended --include-config-data
005#インストール
006/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
AppleScriptで生成しました
ログ
サンプルソース（参考）
行番号ソース
001OSver: 26.2
002CUPS: 2.3.4
003iCloud XProtect: /private/var/protected/xprotect
004In var XProtect.bundle Ver: 5327
005Legacy XProtect: /Library/Apple/System/Library/CoreServices
006In Library XProtect.bundle Ver: 5327
007XProtect.app: 156
008XProtectPluginService.xpc: 74
009MRT.app: 1.93
010AppleKextExcludeList.kext: 21.0.0
011/usr/bin/sudo /usr/bin/xprotect check
012Current update: date: 2026-02-10 19:18:34 +0000 version: 5329
013/usr/bin/xprotect  version
014Version: 5327 Installed: 2026-02-04 04:01:39 +0000
015/usr/bin/sudo /usr/bin/xprotect update
016Starting update.
017Update succeeded: Activated update CloudKitUpdate[v5329 - current @ 2026-02-10 19:18:34 +0000]
018/usr/bin/sudo /usr/bin/xprotect check
019Current update: date: 2026-02-10 19:18:34 +0000 version: 5329
020/usr/bin/xprotect version
021Version: 5329 Installed: 2026-02-11 02:21:53 +0000
022/usr/bin/xprotect status
023XProtect launch scans: enabled
024XProtect background scans: enabled
025/usr/sbin/softwareupdate --list --recommended --include-config-data
0262026-02-11T02:21:53Z
027Software Update Tool
028
029Finding available software
030Software Update found the following new or updated software:
031* Label: XProtectPlistConfigData_10_15-5329
032  Title: XProtectPlistConfigData, Version: 5329, Size: 1249KiB, Recommended: YES, 
0332026-02-11T02:21:59Z
034/usr/sbin/softwareupdate --download --recommended --include-config-data
0352026-02-11T02:21:59Z
036Software Update Tool
AppleScriptで生成しました
XProtectはマルウェアから、利用者を守ろうとする仕組みです
たとえば
ルールファイルがあります
サンプルソース（参考）
行番号ソース
001/private/var/protected/xprotect/XProtect.bundle/Contents/Resources/XPScripts.yr
002/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XPScripts.yr
AppleScriptで生成しました
１MB以下のapplescriptでブラウザを全て参照して
クッキーを取得するような物はマルウェアって判定しています
署名のチェックはGateKeeper マルウェアはXProtectです

/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XPScripts.yr
を
テキストエディタで開いて確認するとどのような
AppleScriptを利用したマルウェアがあって何をしようとしているのか？
だいたいわかってくると思います

情報取得系とCURLを使った２次処理系に/LaunchDaemonsに登録するようなものが登録されていますが
思っていたほど数は多く無いです２０点に届かない程度の数です
もう少しあるような気もするけど、これだけ見ても、MacOSをターゲットにしたマルウェアは少ないと言って良いでしょう。
でも
『あるので』注意はやっぱり必要です

もう一つがyaraルール

サンプルソース（参考）
行番号ソース
001/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.yara 
002/private/var/protected/xprotect/XProtect.bundle/Contents/Resources/XProtect.yara
AppleScriptで生成しました

こちらは主に『バイナリー』の解析ものが多いですね
こちらは３００点ぐらい登録されています。

Gatekeeperの警告『開発元を識別できない…』を無視して
よくわからないバイナリーやアプリケーションを実行するのは
見知らぬ人に家の鍵を預けて、中身を自由に見てもいいよと言うのと同じになる『場合がある』わけで
その後で
Xprotectが内容を精査するけど
３００種類ぐらいのものなので全てに対応しているわけでもありません
普段からのセキュリティに対しての意識が大切ですね

macOS26.3直後のセキュリティアップデート

サンプルソース（参考）
行番号ソース
001zsh $
002zsh $
003zsh $ /bin/date;/usr/sbin/softwareupdate --list --recommended --include-config-data;/bin/date;
0042026年 2月12日 木曜日 17時58分02秒 JST
005Software Update Tool
006
007Finding available software
008
009Software Update found the following new or updated software:
010* Label: MRTConfigData_10_15-1.93
011  Title: MRTConfigData, Version: 1.93, Size: 4595KiB, Recommended: YES, 
012* Label: XProtectPlistConfigData_10_15-5329
013  Title: XProtectPlistConfigData, Version: 5329, Size: 1249KiB, Recommended: YES, 
014* Label: GatekeeperCompatibilityData-1.0
015  Title: Gatekeeper Compatibility Data, Version: 1.0, Size: 7108KiB, Recommended: YES, 
016* Label: XProtectPayloads_10_15-156
017  Title: XProtectPayloads, Version: 156,  Size: 23594KiB, Recommended: YES, 
0182026年 2月12日 木曜日 17時58分04秒 JST
019zsh $
020zsh $
021zsh $
022zsh $ /bin/date;/usr/sbin/softwareupdate --install --recommended --include-config-data;/bin/date;
0232026年 2月12日 木曜日 17時58分13秒 JST
024Software Update Tool
025
026Finding available software
027
028Downloading XProtectPayloads
029Downloading MRTConfigData
030Downloading XProtectPlistConfigData
031Downloading Gatekeeper Compatibility Data
032Downloaded MRTConfigData
033Downloaded XProtectPlistConfigData
034Downloaded XProtectPayloads
035Downloaded Gatekeeper Compatibility Data
036Installing XProtectPayloads, MRTConfigData, XProtectPlistConfigData, Gatekeeper Compatibility Data
037Done with XProtectPayloads
038Done with MRTConfigData
039Done with XProtectPlistConfigData
040Done with Gatekeeper Compatibility Data
041Done.
0422026年 2月12日 木曜日 17時58分35秒 JST
043zsh $
044zsh $
045zsh $
AppleScriptで生成しました