Tidy My Mac
勒索软件在 Mac 上做什么
勒索软件无需攻破 macOS。它以你的身份运行，凭你对自己文件已有的访问权限，这就足够了。它逐个打开你的文稿，在每个文稿上写入一份加密副本，通常还会将其重命名（report.docx 变成 report.docx.locked），并在每个文件夹中留下一份说明，名称类似 HOW_TO_DECRYPT.txt，里面是勒索要求。
新的勒索软件程序还没有特征码，所以把文件与已知恶意软件比对的杀毒软件，在第一天可能会漏掉它。所有勒索软件程序的共同点，是它们对你文件所做的事。这正是 Ransomware Protection 所监视的。
Tidy My Mac 如何发现勒索软件
单个文件的变化说明不了任何问题：你会重命名文件，App 会保存，备份也随时都在写入。Ransomware Protection 会寻找三种迹象，并在其中许多迹象于几秒内集中出现时采取行动。
| 迹象 | 它查找的内容 |
|---|---|
| Encrypted names | 文稿、照片或视频突然多出一个普通 App 不会添加的第二扩展名，例如 .locked 或 .encrypted。正在进行的下载、备份、你自己制作的归档以及 iCloud 占位文件都会被忽略。 |
| Ransom notes | 以解密、恢复或还原你的文件命名的新文本或网页文件。 |
| Scrambled contents | 某个文本文件（备忘录、CSV、代码、HTML）的内容变成了看起来像随机字节的东西。已经压缩过的格式（如照片和 Word 文稿）不在此列，因为它们看起来总是随机的。 |
一个被重命名的文件只是个稀罕事。十秒内有十几个文件出现这些迹象，就是一个程序正在逐个处理某个文件夹，这时防护机制就会介入。
它还会在你的文稿中放置几个隐藏的诱饵文件。你使用的任何东西都不会打开它们，所以改写其中之一的程序几乎可以肯定是勒索软件，防护机制仅凭这一点就会采取行动。
找出程序，并将其停止
macOS 会告诉 App 哪些文件发生了变化，但不会告诉它是谁改的。因此警报响起时，Tidy My Mac 会查看当时正在运行的程序：每个程序正向磁盘写入多少数据、它打开了你文件夹中的哪些文件、碰了哪个诱饵文件。正在写入的那个程序会被停止，连同它一并启动的自身副本。
有些程序永远不会被停止，因为没有它们的 Mac 就是坏的：访达、聚焦、iCloud、“时间机器”以及 macOS 自带的其他代码。命令行 shell 和 openssl 之类的工具同样出自 Apple，但勒索软件脚本会在它们之上运行，所以它们不会被放行。
通知会告诉你发生了什么：哪个程序被停止了，以及它更改了哪些文件。如果那是你信任的东西，例如一个有意改写大量文件的加密、同步或照片处理工具，请选择 Always Allow。被允许的程序会按其开发者的签名和所在位置被记住，所以它的更新依然被允许，但放在同一位置的另一个程序则不会。未签名的程序按其代码的指纹被记住，而这个指纹会随任何修改而改变。
Ransomware Protection 能限制损害，但无法撤销损害。程序被停止之前那几秒内被更改的文件仍保持被更改的状态。请保留一份“时间机器”备份，或另一份并不总是连接着的备份，以便恢复它们。
与杀毒功能配合
Antivirus 和 Ransomware Protection 捕获的是不同的东西。杀毒功能会扫描你下载的内容，并在已知恶意软件运行之前识别出它。Ransomware Protection 监视的是行为，所以它能在程序启动之后，捕获一个还没有人见过的程序。二者合起来，既涵盖你打开某样东西之前的时刻，也涵盖之后的时刻。
哪些内容留在你的 Mac 上
Ransomware Protection 所做的一切都发生在你的 Mac 上：监视你的文件、读取哪些程序正在写入、停止其中一个。有关你的文件或程序的任何信息都不会发送给我们。隐私政策列出了 App 发出的每一个请求。
完全磁盘访问权限
macOS 用单独的权限保护桌面、文稿和“下载”。Ransomware Protection 需要“完全磁盘访问权限”才能监视它们，这与 Tidy My Mac 其余部分在首次启动时请求的是同一个授权。
关于Ransomware Protection的常见问题
会。它比 Windows 上少见，但 macOS 的勒索软件确实存在，而且它不需要漏洞利用：被你误打开的程序以你的身份运行，可以改写你能改写的每一个文件。Gatekeeper 和 XProtect 会阻止其中很大一部分打开；Ransomware Protection 则是为那些突破了它们的程序而设。
不需要。它针对的是程序对你文件所做的事，而不是程序是什么，所以新的勒索软件与旧的会以同样的方式被捕获。
不能。它会及早停止加密，所以受影响的只是少数几个文件，而不是全部。请从“时间机器”或其他备份中恢复这些文件。千万不要支付赎金：不能保证你能拿回任何东西。
在通知中选择 Always Allow，然后重新启动该程序。有意改写大量文件的工具（如加密或批量处理照片的 App）是常见情形。被允许的程序之后可以在 Settings 中从列表里移除。
不会。它读取的是 macOS 已经报告的文件变更，只有在发生可疑情况时才会查看正在运行的程序。