لصقت أمرًا في Terminal؟ افحص جهاز Mac الآن.

1ماذا يفعل السطر الذي لصقته

منذ أواخر 2025، تطلب صفحات مزيّفة لأدوات الذكاء الاصطناعي وإعلانات بحث من نوع "نظّف جهاز Mac" من مستخدمي Mac أن يفتحوا Terminal ويلصقوا سطرًا واحدًا. تتبّعت Sophos ثلاث حملات بين نوفمبر 2025 وفبراير 2026 ثبّتت برنامج السرقة MacSync بهذه الطريقة: ينزّل السطر سكربتًا، ويطلب كلمة سر جهاز Mac، ثم يأخذ بيانات سلسلة المفاتيح وبيانات الدخول المحفوظة وعبارات استرداد محافظ العملات المشفّرة (The Hacker News، 16 مارس 2026). وتذكر Microsoft الطُّعوم نفسها لبرامج السرقة Atomic (AMOS) وMacSync وDigitStealer، ويُوصَل إليها غالبًا عبر إعلانات البحث (Security Affairs عن تقرير Microsoft، 4 فبراير 2026).

لماذا لم يحذّرك شيء: يسألك macOS قبل أن تفتح أول مرة برنامجًا منزّلًا من الإنترنت (Apple Platform Security)، ويعرف أن الملف جاء من الإنترنت بعلامة حجر (quarantine) تضعها المتصفحات. أما الملفات التي تُجلب بـ curl في Terminal فقد لا تحمل هذه العلامة (MITRE ATT&CK T1553.001)، والسكربت الذي يُمرَّر مباشرة إلى bash لا يُفتح كتطبيق أصلًا، فلا يظهر التنبيه أبدًا.

تبدو هذه الأسطر عادةً كأحد ما يلي، مع عنوان ويب في وسطها:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2الفحص 1: عناصر تسجيل الدخول والتطبيقات في الخلفية

افتح إعدادات النظام → عام → عناصر تسجيل الدخول والامتدادات (في macOS 14 وما قبله: عناصر تسجيل الدخول). انظر في فتح عند تسجيل الدخول والسماح في الخلفية.

كل ما لا تعرفه يستحق نظرة أقرب، وخاصة عنصر باسم غريب، أو بلا مطوّر ظاهر، أو ظهر في اليوم الذي لصقت فيه الأمر. إيقاف عنصر يعمل في الخلفية يمنعه من البدء من جديد، لكنه لا يحذفه.

3الفحص 2: وكلاء التشغيل والخدمات الخلفية

البرامج التي تبدأ من تلقاء نفسها تترك ملفًا صغيرًا في أحد ثلاثة مجلدات. هذا الأمر يسردها، الأحدث أولًا:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

معظم الأسماء تبدو مثل com.company.app.plist. ابحث عن ملفات مؤرّخة بنحو يوم لصقك الأمر، أو أسماء تقلّد Apple (com.apple…) داخل مجلد Library الخاص بك، أو أسماء من حروف عشوائية. لترى أي برنامج يشغّله ملفٌ ما، ضع اسمه مكان NAME:

plutil -p ~/Library/LaunchAgents/NAME.plist

4الفحص 3: ملفات بدء تشغيل الصدفة

تشغّل الصدفة (shell) هذه الملفات كلما فُتح Terminal، لذا قد يخفي برنامج سرقة سطرًا فيها. هذا يعرض متى تغيّر كلٌّ منها آخر مرة:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

إن تغيّر أحدها في يوم لا تذكر أنك عدّلته فيه، فانظر في أسطره الأخيرة:

tail -n 20 ~/.zshrc

الأسطر التي لم تكتبها وتذكر curl أو base64 أو osascript أو عنوان ويب هي ما تبحث عنه.

5الفحص 4: ما لصقته

يحفظ Terminal الأسطر التي شغّلتها. هذا يعرض آخر 30 سطرًا نزّلت شيئًا أو فكّت ترميزه:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6الفحص 5: تطبيقات لم يقبلها macOS

يستطيع Gatekeeper في macOS أن يخبرك بالتطبيقات في مجلد التطبيقات التي لن يقبلها (غير موقّعة من مطوّر معروف الهوية، أو لم تفحصها Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

تظهر هنا بعض التطبيقات القديمة أو مفتوحة المصدر وهي سليمة. التطبيق الذي لا تذكر أنك ثبّته هو ما تبحث عنه. افعل الشيء نفسه بعينك لمجلد التنزيلات، الأحدث أولًا:

ls -lt ~/Downloads | head -n 20

7الفحص 6: الوصول عن بُعد وملفات التعريف

افتح إعدادات النظام → عام → المشاركة. يجب أن تكون مشاركة الشاشة وتسجيل الدخول عن بُعد والإدارة عن بُعد ومشاركة الملفات متوقفة ما لم تستخدمها أنت.

ثم افتح إعدادات النظام → عام → إدارة الأجهزة (في إصدارات macOS الأقدم: الخصوصية والأمن → ملفات التعريف). ملف تعريف لم تثبّته أنت قد يمرّر تصفّحك عبر خادم شخص آخر أو يجعل جهازك يثق بشهاداته. لا تزله إلا إن كنت متأكدًا أنه ليس من مدرستك أو جهة عملك.

8الفحص 7: مَن يتصل بالإنترنت

هذا يعدّ اتصالات الإنترنت المفتوحة لكل برنامج:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

المتصفح والبريد والرسائل وiCloud أمور عادية. اسمٌ لا تعرفه، أو مشغّل سكربتات مثل osascript أو python3 أو curl يحتفظ باتصالات، يستحق نظرة. لترى البرامج التي تنتظر اتصالات من أجهزة أخرى:

lsof -nP -iTCP -sTCP:LISTEN

9إن وجدت شيئًا

1. افصل الاتصال بشبكة Wi-Fi وانزع أي كابل شبكة.
2. من جهاز آخر، غيّر أولًا كلمات السر لحساب Apple وبريدك الإلكتروني ومصرفك، وسجّل الخروج من كل الجلسات الأخرى، وفعّل المصادقة الثنائية.
3. اعتبر كل محفظة عملات مشفّرة كانت عبارة استردادها أو مفاتيحها على هذا الجهاز مفقودة. أنشئ محفظة جديدة على جهاز نظيف وانقل الأموال إليها. قد يكون برنامج السرقة قد حصل على العبارة فعلًا، والتحويل لا يمكن التراجع عنه. راجع أمان محافظ العملات المشفّرة.
4. أزل ما وجدته: أنهِه في مراقب النشاط، واحذف ملف وكيل التشغيل والتطبيق، ثم أعد التشغيل. إن لم تكن متأكدًا أنك وجدت كل شيء، فانسخ مستنداتك احتياطيًا (لا تطبيقاتك) وامسح الجهاز: إعدادات النظام → عام → النقل أو إعادة التعيين → مسح كل المحتوى والإعدادات.
5. ظهر لك تنبيه بأن برنامجًا ضارًا حُظر ونُقل إلى سلة المهملات؟ هذا XProtect، الحماية المدمجة في Mac، يزيل ملفًا تعرّف عليه. هذا جيد، لكن تحقّق من مصدر الملف: ربما أرسل الموقع نفسه المزيد. راجع ما تفعله الحماية المدمجة في Mac.

10قبل أن تلصق أي شيء في Terminal مرة أخرى

• اكتب عنوان الموقع بنفسك؛ لا تتبع إعلانًا أو رابطًا في محادثة.
• اقرأ السطر قبل أن تلصقه. | sh و| bash وbase64 وosascript تعني أنه يشغّل شيئًا.
• لا يوجد إصلاح حقيقي لموقع ويب أو لاختبار captcha أو لتنزيل "معطّل" يحتاج إلى Terminal.
• إن طلب منك سطرٌ كلمة سرّك، فتوقف واسأل نفسك: لأي غرض؟

11أسئلة

تم اختراق جهاز Mac الخاص بي. ماذا أفعل أولًا؟

افصله عن الإنترنت، ثم استخدم جهازًا آخر لتغيير كلمات سر حساب Apple والبريد الإلكتروني والمصرف، وسجّل الخروج من كل الجلسات الأخرى. انقل أي عملات مشفّرة كانت عبارة استردادها على الجهاز إلى محفظة جديدة أُنشئت على جهاز نظيف. ثم أجرِ الفحوص في هذه الصفحة أو امسح الجهاز.

كيف أعرف إن كان جهاز Mac مخترقًا الآن؟

ابحث عن عناصر تسجيل دخول أو وكلاء تشغيل لا تعرفها، وملفات صدفة لم تغيّرها، وتطبيقات لم يقبلها macOS، وبرامج مجهولة لها اتصالات بالإنترنت. ومن العلامات أيضًا طلبات كلمة سر لم تتسبب فيها، وإعدادات متصفح تغيّرت من تلقاء نفسها.

قال macOS إن برنامجًا ضارًا حُظر ونُقل إلى سلة المهملات. هل أنا بأمان؟

يعني أن XProtect تعرّف على ملف ضار معروف وأزاله قبل أن يعمل. تحقّق من مصدر الملف وأجرِ الفحوص أعلاه: ربما أوصل الموقع نفسه أو البريد نفسه شيئًا لم يتعرّف عليه XProtect.

هل لصق أمر في Terminal آمن؟

فقط حين تكتب عنوان الموقع بنفسك وتعرف ما يفعله السطر. لا تلصق أبدًا سطرًا من إعلان أو نافذة منبثقة أو صفحة "تحقّق أنك إنسان" أو محادثة. إن كان يمرّر تنزيلًا إلى sh أو bash، أو يفكّ ترميز base64، أو يطلب كلمة سرّك، فتوقف.

هل عليّ أن أمسح جهاز Mac؟

إن لم تستطع تحديد ما وجدته وإزالته، أو كان الجهاز يحمل عبارات استرداد أو مفاتيح ذات قيمة كبيرة، فالمسح هو الخيار الآمن. انسخ مستنداتك احتياطيًا، لا تطبيقاتك، وسجّل الدخول من جديد من الصفر.