Como achar consumidores ocultos de banda no macOS

Você saiu de cada app. Fechou cada aba do navegador. O ícone Wi-Fi é a única coisa na sua barra de menu que deveria estar se movendo. E ainda assim seu roteador está mostrando 8 Mbps sustentados de upload, hora após hora. Em algum lugar do seu Mac, algo está falando — e nenhum dos suspeitos usuais está aberto. Caçar consumidores de banda escondidos no macOS é tipo diferente de debug do que rastrear infratores óbvios.

Os apps visíveis no seu Dock raramente são o problema real. Os escondidos são: processos auxiliares, daemons de sistema, utilitários só de segundo plano e agentes lançados no login que não têm UI. Este post percorre como achar, nomear e decidir o que fazer com eles.

Por que os piores consumidores de banda no macOS estão escondidos

Quando pessoas dizem que um Mac tem consumidores de banda escondidos, normalmente significam uma de quatro categorias:

1. Processos auxiliares — Chrome Helper, Slack Helper, etc. Têm apps pais que você reconhece, mas o tráfego aparece sob PIDs não familiares.
2. Daemons de sistema — cloudd, mediaanalysisd, nsurlsessiond, mDNSResponder, apsd. Fazem parte do macOS e fazem trabalho real, mas os nomes são inscrutáveis.
3. Apps só em segundo plano — agentes de backup, antivírus, daemons de iluminação RGB, clientes de sync de nuvem sem ícone no Dock.
4. LaunchAgents e LaunchDaemons — pequenos programas persistentes registrados com launchd que auto-iniciam e nunca aparecem no switcher Cmd+Tab.

Cada um é invisível de forma diferente, e cada um exige abordagem ligeiramente diferente para atribuir tráfego corretamente.

Achando processos auxiliares e agrupando sob o pai

Essa é a fonte mais comum de confusão. Abra Activity Monitor → Rede e você verá algo como:

Google Chrome Helper (Renderer)   45.2 MB enviados
Google Chrome Helper (GPU)         0.8 MB enviados
Google Chrome Helper (Plugin)      2.1 MB enviados
Google Chrome Helper              18.4 MB enviados
Google Chrome Helper              22.7 MB enviados
Google Chrome Helper               9.0 MB enviados
Google Chrome                      0.3 MB enviados

Sete linhas, nenhuma individualmente assustadora, totalizando cerca de 100 MB. Slack, Discord, Telegram, Teams, VS Code, Notion e a maior parte dos apps Electron seguem o mesmo padrão.

Para atribuir tráfego de helper corretamente você precisa ou somar as linhas à mão ou usar uma ferramenta que faz por você.

ova faz esse agrupamento automaticamente. Algumas outras ferramentas também. O ponto é: qualquer visão por app que não agrupa helpers vai subestimar quanto seus grandes apps Electron estão de fato usando.

Decodificando os daemons de sistema mais comuns

Esses são os que você vai ver em qualquer lista de processos que inclui trabalho em segundo plano. Um guia de campo curto:

cloudd

Daemon de nuvem da Apple. Lida com iCloud Drive, uploads de iCloud Photos e tráfego CloudKit para qualquer app que usa iCloud como backend de sync. Picos grandes aqui geralmente significam que Photos está enviando originais ou que app de terceiros (notas, sync de bookmark) está reconciliando.

nsurlsessiond

Serviço de sistema que roda sessões URL em segundo plano em nome de outros apps — especialmente quando o Mac está plugado e em Wi-Fi. Atualizações da App Store, podcasts baixando em segundo plano e uploads iCloud podem aparecer aqui. O app originador costuma estar escondido uma camada abaixo.

mediaanalysisd

Análise de mídia local (reconhecimento de rosto/objeto para Photos, análise de cena). Em sua maior parte CPU e disco, mas dispara cloudd quando resultados precisam sincronizar para outros dispositivos. Se mediaanalysisd está ocupado e cloudd está fazendo upload, esses dois normalmente trabalham juntos.

softwareupdated

Downloader de update do sistema. Se está ocupado, o macOS está puxando uma atualização — que pode ser 4 a 15 GB.

mDNSResponder

Bonjour / multicast DNS. Deveria ser perto de zero do lado WAN. Tráfego pesado de mDNSResponder na LAN normalmente significa app mal configurado fazendo broadcast agressivo, mas não deveria comer seu plano de internet.

apsd

Daemon Apple Push Notification. Mantém conexão persistente com servidores da Apple para push notifications. Sempre ligado, banda muito baixa, basicamente grátis.

bird

Daemon de file provider do iCloud Drive. Picos grandes significam que iCloud Drive está movendo dados.

assetsd

Gerenciamento de asset da biblioteca Photos. Frequentemente encadeado com cloudd e photoanalysisd.

Apps só em segundo plano que você esqueceu

Uma classe diferente de processo escondido: aplicações completas que intencionalmente se escondem do Dock. Comuns:

• Clientes de backup — Backblaze, Arq, Carbonite, iDrive
• Antivírus e EDR — Sophos, CrowdStrike, SentinelOne, Malwarebytes
• Armazenamento na nuvem — Dropbox, Google Drive, OneDrive, Box, Sync.com
• Utilitários de hardware — Logitech G Hub, Razer Synapse, software OWC, ferramentas de calibração de monitor
• Utilitários de produtividade — Bartender, Hazel, Alfred (tráfego baixo mas existem)
• Tooling de dev — Docker Desktop, Colima, JetBrains Toolbox, Tailscale, ngrok

As primeiras quatro categorias são as que movem banda real. Backup e antivírus em particular podem mover dezenas de gigabytes por dia se estão fazendo syncs iniciais ou escaneando drive grande.

Como enumerar

Três lugares para olhar:

1. Ajustes do Sistema → Geral → Itens de Início e Extensões. Lista tudo que auto-lança. Alguns rodam em segundo plano sem UI.
2. Activity Monitor → Todos os Processos (menu Visualizar). Mostra a lista completa, não só apps voltados a usuário.
3. Terminal: launchctl list | grep -v com.apple — mostra jobs launchd de terceiros.

Qualquer coisa nessas listas que você não reconhece vale uma investigação de cinco minutos.

Prendendo tráfego a um processo escondido

Quando você tem visão de banda por app ou por processo, o workflow para atribuição é:

1. Flagre o pico. Ou ao vivo (a barra de menu mostra 30 Mbps agora) ou histórico (ontem às 14h, algo usou 5 GB).
2. Ache o top processo durante o pico. Um monitor com histórico torna isso trivial; sem um, você precisa estar olhando no momento que acontece.
3. Pesquise o nome do processo. Se é helper, ache o pai. Se é daemon, use a tabela acima.
4. Confirme saindo ou pausando. Se pausar o suspeito faz o tráfego parar, você tem sua resposta.

Veja o ova em ação

Um monitor de banda na barra de menu para olhar de relance — local, assinado, ~3 MB.

Baixar para macOS

O que fazer quando o culpado é daemon de sistema

Esse é o caso mais complicado. Você não pode sair de cloudd ou nsurlsessiond — vão simplesmente respawnar, e desabilitar quebra partes do macOS. O movimento certo é achar o app originador e pausar.

Um exemplo concreto: cloudd está fazendo upload de 200 Mbps por uma hora depois que você importou um telefone cheio de vídeo 4K. A causa é iCloud Photos empurrando originais. A correção é ou:

• Pausar sync iCloud Photos (abra Photos, role até embaixo, clique pause)
• Mudar para Modo de Dados Reduzidos na rede atual temporariamente
• Esperar — o upload termina quando os originais novos estão no iCloud

Para nsurlsessiond, os passos são similares: descubra qual app agendou a sessão em segundo plano. Originadores comuns são App Store / Mac App Store, Music (baixando música comprada), Podcasts e apps de terceiros usando URLSession com configuração background.

Construindo uma linha de base

Consumidores de banda escondidos são mais fáceis de flagrar quando você sabe como o "normal" se parece. Depois de boot fresco, em idle:

• Throughput total deve ser um filete — kilobits por segundo, não megabits
• apsd, mDNSResponder e alguns processos pequenos do sistema vão tiquetaquear suavemente
• Qualquer coisa sustentada acima de 1 Mbps em idle vale investigar

Rode um monitor por app como o ova por alguns dias durante uso normal e você vai rapidamente reconhecer a frequência cardíaca em repouso do seu Mac. Qualquer coisa fora desse padrão é candidata para a shortlist de consumidores de banda do macOS.

Uma auditoria prática de consumidores escondidos

Passe por isso uma vez e você vai ter visão mais afiada do seu Mac do que a maioria das pessoas se preocupa em desenvolver:

1. Reinicie. Espere dois minutos.
2. Abra o ova (ou seu monitor por app). Anote a linha de base ociosa — quais processos têm tráfego não-zero?
3. Abra Ajustes do Sistema → Geral → Itens de Início e Extensões. Cruze com o que você viu rodando.
4. Activity Monitor → Visualizar → Todos os Processos → aba Rede. Ordene por Bytes Enviados. Identifique qualquer coisa que não reconhece e busque.
5. Para cada daemon não familiar, decida: conhecido-bom (apsd, mDNSResponder, cloudd se usa iCloud) ou vale investigar.
6. Para cada app só de segundo plano: decida se ainda quer. Desinstale os que não.

A maior parte dos usuários acha uma ou duas surpresas nessa auditoria — cliente de backup que esqueceu, utilitário de hardware de periférico que devolveu, sync de nuvem que pretendia desligar meses atrás.

O que fazer a seguir

Se você não está rodando monitor de banda por app, essa é a mudança com maior retorno. Sem um, os escondidos ficam escondidos — a aba Rede do Activity Monitor é trabalhosa demais para morar nela.

Próximos passos concretos:

1. Instale o ova ou outro monitor de banda por app.
2. Rode a auditoria acima.
3. Marque essa página ou tire screenshot da tabela de daemons — é chato re-pesquisar nsurlsessiond toda vez.
4. Volte mensalmente. Coisas mudam; novos itens de login são adicionados.

Processos escondidos no macOS não são maliciosos por padrão. Estão fazendo trabalho que você (ou algum app) pediu. A habilidade de achar consumidores de banda do macOS é poder vê-los, nomeá-los e decidir se ainda quer aquele trabalho acontecendo.