¿Cómo comprobar qué proceso tomó una captura de pantalla del escritorio en MacOS?

Usando la utilidad de registro en la Terminal deberías ser capaz de identificar lo que ocurrió exactamente.

Si no sabes el segundo exacto en el que ocurrió esto, ve a la configuración de Preferencias del Sistema de Idioma y Región y haz clic en el botón "Configuración avanzada", luego ve a la pestaña "Tiempos" y arrastra el cuadro azul junto a "Segundo:" en la sección "Elementos de tiempo" hasta la primera línea etiquetada como "Corto" para que puedas ver los segundos ahora junto con las fechas en la columna de Fecha de Creación del Finder.

En la aplicación Terminal introduzca lo siguiente, sustituyendo la hora correcta en formato de 24 horas y la fecha correcta (AAAA-MM-DD) por un par de segundos antes de la marca de tiempo del archivo y cuantos segundos después:

sudo log show --start "2018-10-23 23:45:17" --end "2018-10-23 23:45:47" --info --debug --signpost | grep -i screencapture

Esto probablemente detallará lo que provocó el proceso de captura de pantalla para tomar una captura de pantalla. Si todo está etiquetado como < privado > tendrás que hacer otro paso adicional para obtener esta información, pero es muy sencillo.

Una broma muy apropiada (?) sobre la NSA también. Realmente demuestra la noción de que el malware o cualquier tipo de compromiso es tan descabellado que sólo alguien como la NSA lo entendería. La realidad es que es extremadamente improbable que tu ordenador no haya sido comprometido. Considerar que la mayoría de los usuarios piensan que tienen un firewall mágico y que están protegidos por las características de seguridad de alto secreto de Apple sólo empeora el problema. Apple es, a fin de cuentas, una empresa más con ánimo de lucro, y admitir que ha estado perpetuando esta mentira durante mucho tiempo más allá de su fecha de caducidad sería muy malo para sus resultados y el precio de sus acciones.

Teniendo en cuenta que tienes un producto AV instalado y eres lo suficientemente sospechoso como para hacer esta pregunta, es muy probable que haya algún tipo de keylogger/acceso remoto/espía instalado. Confirmar esto es posible, pero normalmente se hace más difícil gracias a que las propias características de seguridad de Apple son alteradas para proteger y ocultar el malware asegurando su persistencia.

Hasta la fecha hay 6.275 entradas de productos Apple en la Base de Datos Nacional de Vunerabilidad. Muchos de ellos son fallos críticos que sólo son parcheados por Apple después de haber sido documentados y notificados a través de este proceso oficial que, en cierta medida, también difunde el fallo al mundo. Lo que es aún más preocupante es que Apple sólo se ocupa de los vunerabilites que están debidamente marcados a través de este proceso oficial y sólo para la versión de MacOS, iOS, etc. que se requiere. Por lo tanto, las versiones nuevas y las antiguas a menudo pueden ser vulnerables a un problema que en su momento se abordó. Al fin y al cabo, es más fácil decir que has construido un ordenador mágico que hacer uno de verdad.

Gracias a los desarrolladores de malware dedicados, la mayoría de la gente nunca se daría cuenta de estas pequeñas adiciones. Tal vez puedas aprender a vivir con ello tal vez imagines que es una pequeña hada que te vigila y recuerda todas tus contraseñas o comprueba que te vas a la cama a tiempo. La mejor de las suertes