Mac mini Lenteur après MàJ vers Mojave

[Maxime Pierre]

Bonjour,

J'ai fait hier la mise à jour de mon mac mini (fin 2012) vers macOS Mojave.
Depuis, l'ordinateur est très lent, et la RAM est surchargée. J'ai nettoyé ce que j'ai pu avec CleanMyMac 3, redémarré à plusieurs reprises, nettoyé mon bureau, vérifié les mises à jour... Rien à faire. Même sans ouvrir d'application, mon mac est extrêmement lent.
Le moniteur d'activité affiche une opération très gourmande en mémoire vive (98% du processeur), nommée "QhRgDGch", liée à l'utilisateur "root" et fille d'une autre opération, "launchd". Je ne sais pas du tout comment tout cela fonctionne, je ne fais que rapporter ce que je vois. Je dispose de 8Go de RAM, ce qui a jusqu'alors été largement suffisant. Le mac mini fin 2012 est inclus dans la liste des appareils compatibles avec Mojave.
Merci à ceux qui prendront le temps de m'aider.

 

[bompi]

launchd est un lanceur de processus : c'est lui qui est responsable du lancement de la plupart des services disponibles sur le système au démarrage.

Ce "QhRgDGch" est étrange... Comment es-tu passé à Mojave :

• par mise à jour ?
• par installation propre avec récupération automatique des éléments précédents (disponibles dans une sauvegarde) ?
• par installation propre avec récupération manuelle des éléments précédents ?
• par installation propre ?

 

[Maxime Pierre]

Par mise à jour, je crois...
Je viens de voir que launchd est lui-même une opération fille d'un certain "kernel_task"

 

[Moonwalker]

Par mise à jour, je crois...
Je viens de voir que launchd est lui-même une opération fille d'un certain "kernel_task"

Launchd est un processus normal du système.

Le problème est ce QhRgDGch ainsi que

J'ai nettoyé ce que j'ai pu avec CleanMyMac 3

Pas l’idée du siècle.

Sélectionne QhRgDGch dans le moniteur d’activité et regarde les informations qui lui sont attachées (le petit i dans la barre d’outils du moniteur d’activité).

 

[Maxime Pierre]

QhRgDGch (137)

Opération parente : launchd (1)
Utilisateur : root (0)
Groupe d'opérations : QhRgDGch (137)
% processeur : varie entre 70 et 100
Blocages récents : 0

Taille mémoire réelle : 2,41 Go
Taille mémoire virtuelle : 60,71 Go
Taille mémoire partagée : 508 Ko
Taille mémoire privée : 2,41 Go

Threads : 1
Pages entrantes : 5
Ports : 10
Temps de traitement : 2 : 04 : 41,36
Changements de contexte : 9072299
Appels du système Mach : 49863
Défauts : 15165875
Appels des systèmes Unix : 563554035
Assertions : 0

 

[Moonwalker]

Fait voir un échantillonnage du truc. Normalement, tu devrais avoir le chemin qui apparaît et on saura ainsi sa localisation.

 

[Maxime Pierre]

L'opération s'est brusquement arrêtée et tout est redevenu normal, sans intervention de ma part ! J'ai réussi à la retrouver avec son nom, perdue dans les opérations qui ne consomment rien ou presque...
Je t'envoie quand même le début de l'échantillonnage, le rapport complet étant trop long pour le forum (dis-moi si tu as besoin de la suite).

Bloc de spoiler: Texte d'échantillonage

Analysis of sampling QhRgDGch (pid 4538) every 1 millisecond
Process: QhRgDGch [4538]
Path: /Library/QhRgDGch/QhRgDGch.app/Contents/MacOS/QhRgDGch
Load Address: 0x1030ba000
Identifier: QhRgDGch
Version: ???
Code Type: X86-64
Parent Process: launchd [1]

Date/Time: 2018-10-25 17:16:56.497 +0200
Launch Time: 2018-10-25 17:14:08.575 +0200
OS Version: Mac OS X 10.14 (18A391)
Report Version: 7
Analysis Tool: /usr/bin/sample

Physical footprint: 266.2M
Physical footprint (peak): 266.2

 

[Moonwalker]

Ton machin se trouve dans /Bibliothèque

C’est une application : QhRgDGch.app

Je soupçonne un malware de type minage de crypto-monnaie ou pis. En tout cas, il ne me dit rien de bon.

Il faudrait explorer le bidule pour voir qui l’a créé. Afficher ses informations, explorer le paquet applicatif, lire les .plist qui s’y trouvent, regarder qui est le développeur.

 

[Maxime Pierre]

Et ça reprend...
Je ne trouve pas le dossier du même nom dans la bibliothèque

 

[Moonwalker]

Et ça reprend...
Je ne trouve pas le dossier du même nom dans la bibliothèque

Le chemin est clair :
/Library/QhRgDGch/QhRgDGch.app/Contents/MacOS/QhRgDGch

Donc, soit tu te trompes de bibliothèque, soit ce petit canaillou est un répertoire caché.

La bibliothèque c’est celle du même niveau que Applications, Système et Utilisateurs.

S’il s’agit d’un répertoire caché, tu peux faire apparaître ceux-ci à l’aide d’un logiciel comme OnyX.
https://www.titanium-software.fr/fr/onyx.html


Sinon, en ligne de commande dans le Terminal :
defaults write com.apple.finder AppleShowAllFiles TRUE
Puis relancer le Finder
killall Finder

Pour revenir en mode normal :
defaults write com.apple.finder AppleShowAllFiles FALSE
puis
killall Finder

Un répertoire caché tendrait à confirmer la malignité de la chose.

 

[Maxime Pierre]

Je m'étais simplement trompé de bibliothèque, au temps pour moi.

Infos sur QhRgDGch :
Type : Application
Taille : 19 878 octets (25ko sur disque)
Emplacement : Macintosh HD > Bibliothèque > QhRgDGch
Création : lundi 27 juin 2016 à 16:17
Modifié : lundi 27 juin 2016 à 16:17
Version : 1.0
Copyright : QhRgDGch.iup
Partage et permissions : lecture et écriture pour système, lecture seulement pour wheel et everyone

Lorsque j'ouvre le paquet, il y a un dossier Contents, qui contient un fichier Info.plist, un dossier Resources vide, ainsi qu'un dossier MacOS contenant un "Exécutable Unix" appelé QhRgDGch.

 

[Moonwalker]

Malware.

Balance tout ça à la corbeille. (sans vider de suite)

Va dans LaunchDeamons et LaunchAgents voir s’il y a des plist correspondantes. Dans ce cas, corbeille également. (sans vider de suite)

Redémarrer et vider la corbeille.

Après, un coup avec MalwareBytes pour Mac.

 

[Maxime Pierre]

Je ne sais pas où trouver ces LaunchDeamons et LaunchAgents...

 

[peyret]

 

[Moonwalker]

Je ne sais pas où trouver ces LaunchDeamons et LaunchAgents...

Ce sont des répertoires de la bibliothèque.

Il y en a aussi parfois dans la bibliothèque « invisible », celle de ton compte utilisateur. À vérifier également.

 

[Moonwalker]

Voir la pièce jointe 126957

Non, ceux-là sont les répertoire du Système. Ils sont protégés par le SIP.

 

[Maxime Pierre]

Et je dois vider les .plist ayant pour nom QhRgDGch ?

 

[Moonwalker]

Et je dois vider les .plist ayant pour nom QhRgDGch ?

Ben oui.

 

[peyret]

Non, ceux-là sont les répertoire du Système. Ils sont protégés par le SIP.

OK, D'ailleurs un clic droit ne permet pas de mettre à la corbeille......

 

[Maxime Pierre]

Le problème semble résolu.
Merci beaucoup pour votre aide, c'est super que des gens comme vous passent du temps ici à aider ceux qui s'y connaissent moins.