Dagelijkse dreigingsfeed: actuele signaturen, een scan die op je Mac blijft

Twee bronnen die elkaar aanvullen

De ClamAV-signaturen

ClamAV is een opensource-antivirusengine die al lang wordt onderhouden en breed wordt gebruikt, onder meer op mailservers. De signaturendatabase dekt een grote verscheidenheid aan schadelijke bestanden, waaronder besmette documenten en archieven die van platform naar platform reizen.

De eigen lijst met Mac-dreigingen

Dreigingen die specifiek op macOS mikken, hebben hun eigen gewoonten: nep-installatieprogramma's, adware die zich als startagent installeert, wachtwoorddieven vermomd als hulpprogramma. Novadesko stelt een aparte lijst samen op basis van openbare publicaties van beveiligingsonderzoekers en -leveranciers: bestandshashes, namen van agents en typische locaties. Deze lijst richt zich op wat een algemene database op een Mac kan missen.

Automatisch bijgewerkt en ondertekend

• Elke dag: MacNeat controleert of er een nieuwe feed is en downloadt die op de achtergrond, zonder dat je iets hoeft te doen.
• Ed25519-handtekening: elke feed wordt door Novadesko ondertekend. Voor gebruik controleert de app de handtekening met de ingebouwde publieke sleutel. Een gewijzigd of onvolledig bestand wordt geweigerd, en de app blijft de laatste geldige feed gebruiken.
• Offline: zonder verbinding werkt de scan met de laatst ontvangen database. Je verliest alleen de actualiteit van de signaturen, niet de functie.

Het downloaden van de feed is de enige uitwisseling die nodig is: van de server naar je Mac, nooit andersom voor je bestanden.

Wat er wordt gescand, en hoe

Tijdens een controle vergelijkt MacNeat de bestanden op gevoelige locaties met de feed: downloadmappen, apps, startagents en daemons, extensies en onderdelen die met je sessie starten. De resultaten verschijnen in twee groepen:

• Bekende dreigingen: een bestand komt overeen met een signatuur. MacNeat meldt dat duidelijk en stelt voor het te verwijderen.
• Te bekijken onderdelen: een agent of bestand vertoont verdachte kenmerken zonder overeen te komen met een bekende dreiging. Jij beslist, met de nuttige gegevens erbij (locatie, ontwikkelaar, datum).

Om een actieve agent te verwijderen, stopt MacNeat die eerst en verplaatst hem daarna naar de prullenmand. Niets wordt direct gewist, en de bewerking wordt vastgelegd zodat je haar ongedaan kunt maken. Bij een detectie waarschuwt een melding ‘Verdacht onderdeel gedetecteerd’ je.

Naast XProtect en Gatekeeper, niet in hun plaats

macOS heeft al meerdere verdedigingslinies: Gatekeeper controleert bij het openen de handtekening en notarisatie van apps, XProtect blokkeert bekende malware en Apple werkt de definities op de achtergrond bij. MacNeat schakelt geen van deze beveiligingen uit en omzeilt ze niet.

De dreigingsfeed voegt een tweede blik toe: een andere database, een controle op aanvraag of volgens planning, en vooral een leesbaar overzicht van wat er op je Mac op de achtergrond draait. Geen enkele oplossing, ook deze niet, garandeert dat alles wordt gevonden: een heel recente dreiging kan een paar dagen aan de signaturen ontsnappen. Goede gewoonten blijven onmisbaar, te beginnen met apps alleen installeren vanuit de App Store of de website van de ontwikkelaar.

Geschiedenis, herinneringen en principes

• Geschiedenis: elke beveiligingsscan wordt vastgelegd in Bilan, met het aantal gevonden dreigingen.
• Herinnering: is je laatste controle meer dan twee weken geleden, dan wijst een aanbeveling je daarop.
• Gratis scannen: de controle en de feed zijn beschikbaar zonder licentie. Gevonden onderdelen verwijderen vereist een licentie (proefperiode van 7 dagen).
• Apple Silicon en Intel, met dezelfde feed op beide architecturen.