解決 macOS PT.updd 惡意軟體警告

macOS 重新開機後，每隔幾十秒就跳出錯誤訊息「已阻擋惡意軟體，未打開 PT.updd 名稱，因為它包含惡意軟體。此動作不會損害你的Mac。」刪除 APP 並沒有解決這個問題，本文提供刪除乾淨檔案的教學。

Photo by Christoph Schmid on StockSnap

問題描述

macOS 重新開機後，每隔幾十秒就跳出錯誤訊息：

已阻擋惡意軟體
未打開「PT.updd」，因為它包含惡意軟體。
此動作不會損害你的Mac。

使用系統監視程式 APP (位於應用程式 -> 工具程式 -> 系統監視程式.app) 搜尋關鍵字「PT.updd」可以看到 system/PT.updd 不斷地被 macOS Gatekeeper 阻擋重新啟動。

解決方式

Apple 社群已經有網友分享解決方法

With Finder on screen, choose Go > Go to Folder, and paste these location there and look for files called Popcorn Time(or PT):
~/Library/LaunchAgents
/Library/LaunchDaemons
/Library/LaunchAgents
To remove remnant files that just wasting storage space, then look in these locations:
~/Library/Application Support/
You may have a folder here called PopcornTime
~/Library/Caches/
You may have a folder here called PopcornTime
~/Library/Saved Application State/
You may have a file here called se.popcorn-time.PopcornTime.savedState
~/Library/Preferences/
You may have 2 files called com.time4popcorn.Popcorn Time.plist and com.popcorntime.PopcornTime.plist

上方解決方法是使用 Finder 切換不同目錄，尋找相關目錄或檔案。以下修改成終端機 APP (位於應用程式 -> 工具程式 -> 終端機.app) 可以執行的指令：

(1) 檢查包含 popcorn 或 PT.updd 的啟動服務

% sudo launchctl list | grep -i -E "popcorn|PT.updd"
- -9 PT.updd

（第二欄的 -9 代表程序被強制終止，通常是 macOS 的 XProtect 把它擋下了）

(2) 檢查以下目錄是否包含 Popcorn Time 或 PT 檔案

~/Library/LaunchAgents
/Library/LaunchAgents
/Library/LaunchDaemons
/Library/PrivilegedHelperTools

終端機指令：

% find ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons /Library/PrivilegedHelperTools \( -iname "*popcorn*" -o -name "PT.*" \) 2>/dev/null

/Library/LaunchDaemons/PT.updd.plist

/Library/PrivilegedHelperTools/PT.updd

(3) 先停用服務

以下兩種語法擇一執行：macOS 10.10 起加入的新語法，Apple 建議使用。

%sudo launchctl bootout system/PT.updd

舊式語法

% sudo launchctl remove PT.updd

再刪除符合 Popcorn Time 或 PT 名稱的設定檔與執行檔

sudo rm /Library/LaunchDaemons/PT.updd.plist

sudo rm /Library/PrivilegedHelperTools/PT.updd

移除服務後，可以使用 (1) 的指令，確認已經沒有同名的服務。

(4) 檢查背景項目資料庫是否還有殘留紀錄

% sudo sfltool dumpbtm | grep -i -B5 -A5 "PT.updd"

若仍有紀錄但狀態為 disabled，重新開機後通常會自動清除。

(5) 檢查以下目錄是否包含 PopcornTime 子目錄

~/Library/Application Support/
~/Library/Caches/

終端機指令：

% ls -d ~/Library/Application\ Support/PopcornTime/ ~/Library/Caches/PopcornTime/

若存在則刪除：

% rm -rf ~/Library/Application\ Support/PopcornTime/ ~/Library/Caches/PopcornTime/

(6) 檢查以下目錄是否包含 se.popcorn-time.PopcornTime.savedState 檔案

~/Library/Saved Application State/

終端機指令：

% sudo ls ~/Library/Saved\ Application\ State/se.popcorn-time.PopcornTime.savedState

若存在則刪除：

% rm -rf ~/Library/Saved\ Application\ State/se.popcorn-time.PopcornTime.savedState

(7) 檢查以下目錄是否包含 com.time4popcorn.Popcorn Time.plist 與 com.popcorntime.PopcornTime.plist 檔案

% ls ~/Library/Preferences/com.time4popcorn.Popcorn\ Time.plist
% ls ~/Library/Preferences/com.popcorntime.PopcornTime.plist

若存在則刪除：

% rm ~/Library/Preferences/com.time4popcorn.Popcorn\ Time.plist ~/Library/Preferences/com.popcorntime.PopcornTime.plist

(8) 刪除應用程式本體與安裝檔，並重新開機

% ls -d /Applications/*[Pp]opcorn*
% ls ~/Downloads | grep -i popcorn

若存在，移到垃圾桶並清空。最後重新開機，確認「Malware blocked」視窗不再出現。

無效的嘗試

刪除 PopcornTime APP

問題詳細原因

根據系統監視程式 APP 顯示關於「PT.updd」紀錄。

使用 ChatGPT、Google Gemini 解釋：

從日誌中可以看出 PT.updd 的系統服務出現了一系列問題。主要問題包括：
服務反覆進入 inefficient (低效率) 狀態並嘗試重啟
多個進程（如PID 337、489、702）被生成又被終止
服務頻繁出現 Gatekeeper policy blocked execution（Gatekeeper 策略阻止執行）的錯誤
服務多次進入"throttled"（限流）狀態，顯示 cannot spawn: service is throttled
服務在嘗試啟動後經常因 OS_REASON_EXEC 錯誤而失敗

日誌檔提到因為 PT.updd 的系統服務「OS REASON (EE02) : Jetsam policy blocked execution」，OS REASON 指因為服務造成系統資源不足，而觸發 macOS Gatekeeper 保護策略，而強制終止了服務。

Err

搜尋此網誌