Terminal-এ কমান্ড পেস্ট করেছেন? এখনই আপনার Mac চেক করুন।

1পেস্ট করা লাইনটা কী করে

2025-এর শেষ দিক থেকে, AI টুলের নকল পেজ আর "আপনার Mac পরিষ্কার করুন" ধরনের সার্চ বিজ্ঞাপন Mac ব্যবহারকারীদের Terminal খুলে একটা লাইন পেস্ট করতে বলছে। Sophos নভেম্বর 2025 থেকে ফেব্রুয়ারি 2026-এর মধ্যে এমন তিনটি ক্যাম্পেইন খুঁজে পেয়েছে যেগুলো এভাবে MacSync stealer ইনস্টল করেছে: লাইনটা একটা স্ক্রিপ্ট ডাউনলোড করে, আপনার Mac-এর পাসওয়ার্ড চায়, তারপর keychain-এর ডেটা, সেভ করা লগইন আর ক্রিপ্টো ওয়ালেটের recovery phrase নিয়ে যায় (The Hacker News, 16 মার্চ 2026)। Microsoft-ও Atomic (AMOS), MacSync আর DigitStealer stealer-এর জন্য একই ফাঁদের কথা জানিয়েছে, যেগুলোতে মানুষ প্রায়ই সার্চ বিজ্ঞাপন থেকে পৌঁছায় (Microsoft-এর রিপোর্ট নিয়ে Security Affairs, 4 ফেব্রুয়ারি 2026)।

কেন কোনো সতর্কবার্তা আসেনি: ইন্টারনেট থেকে ডাউনলোড করা সফটওয়্যার প্রথমবার খোলার আগে macOS আপনাকে জিজ্ঞেস করে (Apple Platform Security), আর একটা ফাইল ইন্টারনেট থেকে এসেছে কিনা তা সে বোঝে একটা quarantine ফ্ল্যাগ দেখে, যা ব্রাউজার বসায়। Terminal-এ curl দিয়ে আনা ফাইলে এই ফ্ল্যাগ নাও থাকতে পারে (MITRE ATT&CK T1553.001), আর সরাসরি bash-এ পাইপ করা স্ক্রিপ্ট কখনো অ্যাপ হিসেবে খোলেই না, তাই প্রশ্নটা কখনো আসে না।

এই লাইনগুলো সাধারণত এগুলোর কোনো একটার মতো দেখায়, মাঝখানে একটা ওয়েব ঠিকানা থাকে:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2চেক 1: login items আর ব্যাকগ্রাউন্ড অ্যাপ

System Settings → General → Login Items & Extensions খুলুন (macOS 14 বা তার আগে: Login Items)। Open at Login আর Allow in the Background দেখুন।

যা চিনতে পারছেন না তা ভালো করে দেখুন, বিশেষ করে অদ্ভুত নামের আইটেম, যেখানে কোনো ডেভেলপারের নাম নেই, বা যেটা ঠিক সেদিন এসেছে যেদিন আপনি কমান্ড পেস্ট করেছিলেন। ব্যাকগ্রাউন্ড আইটেম বন্ধ করলে সেটা আবার চালু হয় না; তবে এতে সেটা মুছে যায় না।

3চেক 2: launch agents আর daemons

যেসব প্রোগ্রাম নিজে থেকে চালু হয়, সেগুলো তিনটি ফোল্ডারের কোনো একটায় একটা ছোট ফাইল রেখে যায়। এই কমান্ড সেগুলো দেখায়, নতুনগুলো আগে:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

বেশিরভাগ নাম দেখতে com.company.app.plist-এর মতো। এমন ফাইল খুঁজুন যার তারিখ আপনি যেদিন কমান্ড পেস্ট করেছিলেন তার কাছাকাছি, আপনার নিজের Library ফোল্ডারে Apple-এর নকল করা নাম (com.apple…), বা এলোমেলো অক্ষরে তৈরি নাম। কোনো ফাইল কোন প্রোগ্রাম চালু করে তা দেখতে NAME-এর জায়গায় তার নাম লিখুন:

plutil -p ~/Library/LaunchAgents/NAME.plist

4চেক 3: আপনার shell-এর স্টার্টআপ ফাইল

Terminal খুললেই আপনার shell এই ফাইলগুলো চালায়, তাই কোনো stealer এখানে একটা লাইন লুকিয়ে রাখতে পারে। এই কমান্ড দেখায় প্রতিটি ফাইল শেষ কবে বদলেছে:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

যদি কোনো ফাইল এমন দিনে বদলে থাকে যেদিন সেটা এডিট করার কথা আপনার মনে নেই, তার শেষ লাইনগুলো দেখুন:

tail -n 20 ~/.zshrc

যে লাইন আপনি লেখেননি আর যাতে curl, base64, osascript বা কোনো ওয়েব ঠিকানা আছে, সেটা গোলমালের লক্ষণ।

5চেক 4: আপনি কী পেস্ট করেছিলেন

Terminal আপনার চালানো লাইনগুলো মনে রাখে। এই কমান্ড এমন শেষ 30টি লাইন দেখায় যেগুলো কিছু ডাউনলোড বা ডিকোড করেছে:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6চেক 5: যেসব অ্যাপ macOS গ্রহণ করে না

macOS-এর Gatekeeper বলে দিতে পারে আপনার Applications ফোল্ডারের কোন অ্যাপগুলো সে গ্রহণ করবে না (পরিচিত ডেভেলপারের সাইন করা নয়, বা Apple-এর যাচাই করা নয়):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

কিছু পুরোনো বা ওপেন-সোর্স অ্যাপ এখানে দেখা যায় এবং সেগুলো ঠিকই আছে। আসল লক্ষণ হলো এমন অ্যাপ যেটা ইনস্টল করার কথা আপনার মনে নেই। আপনার Downloads ফোল্ডারও একইভাবে চোখে দেখে নিন, নতুনগুলো আগে:

ls -lt ~/Downloads | head -n 20

7চেক 6: রিমোট অ্যাক্সেস আর প্রোফাইল

System Settings → General → Sharing খুলুন। Screen Sharing, Remote Login, Remote Management আর File Sharing বন্ধ থাকা উচিত, যদি না আপনি নিজে এগুলো ব্যবহার করেন।

তারপর System Settings → General → Device Management খুলুন (পুরোনো macOS-এ: Privacy & Security → Profiles)। যে প্রোফাইল আপনি ইনস্টল করেননি, সেটা আপনার ব্রাউজিং অন্য কারও সার্ভারের মধ্য দিয়ে পাঠাতে পারে বা তাদের সার্টিফিকেটে ভরসা করাতে পারে। সেটা তখনই সরান যখন আপনি নিশ্চিত যে সেটা আপনার স্কুল বা অফিসের নয়।

8চেক 7: কে ইন্টারনেটের সঙ্গে কথা বলছে

এই কমান্ড প্রতিটি প্রোগ্রামের খোলা ইন্টারনেট কানেকশন গোনে:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

আপনার ব্রাউজার, Mail, Messages আর iCloud স্বাভাবিক। অচেনা কোনো নাম, বা osascript, python3 বা curl-এর মতো স্ক্রিপ্ট চালানো প্রোগ্রাম যার কানেকশন খোলা আছে, সেটা খতিয়ে দেখার মতো। অন্য কম্পিউটার থেকে কানেকশনের অপেক্ষায় থাকা প্রোগ্রাম দেখতে:

lsof -nP -iTCP -sTCP:LISTEN

9যদি কিছু পান

1. বিচ্ছিন্ন করুন: Wi-Fi বন্ধ করুন আর নেটওয়ার্ক কেবল থাকলে খুলে ফেলুন।
2. অন্য একটা ডিভাইস থেকে, প্রথমে আপনার Apple Account, ইমেল আর ব্যাংকের পাসওয়ার্ড বদলান, বাকি সব সেশন থেকে সাইন আউট করুন, আর two-factor authentication চালু করুন।
3. যে ক্রিপ্টো ওয়ালেটের recovery phrase বা keys এই Mac-এ ছিল, সেটাকে হারানো ধরে নিন। একটা পরিষ্কার ডিভাইসে নতুন ওয়ালেট তৈরি করে ফান্ড সেখানে সরান। stealer-এর কাছে হয়তো phrase আগেই চলে গেছে, আর ট্রান্সফার ফেরানো যায় না। দেখুন ক্রিপ্টো ওয়ালেটের নিরাপত্তা।
4. যা পেয়েছেন সরিয়ে ফেলুন: Activity Monitor-এ সেটা বন্ধ করুন, launch agent ফাইল আর অ্যাপ মুছে দিন, তারপর রিস্টার্ট করুন। সব খুঁজে পেয়েছেন কিনা নিশ্চিত না হলে আপনার ডকুমেন্টের ব্যাকআপ নিন (অ্যাপের নয়) আর Mac মুছে ফেলুন: System Settings → General → Transfer or Reset → Erase All Content and Settings।
5. সতর্কবার্তা দেখেছেন যে malware ব্লক করে Trash-এ সরানো হয়েছে? এটা XProtect, Mac-এর বিল্ট-ইন সুরক্ষা, যা চেনা একটা ফাইল সরিয়ে দিয়েছে। এটা ভালো, তবে ফাইলটা কোথা থেকে এসেছে দেখুন: একই সাইট আরও কিছু পাঠিয়ে থাকতে পারে। দেখুন Mac-এর বিল্ট-ইন সুরক্ষা কী করে।

10আবার Terminal-এ কিছু পেস্ট করার আগে

• সাইটের ঠিকানা নিজে টাইপ করুন; বিজ্ঞাপন বা চ্যাটের লিংক ধরে যাবেন না।
• পেস্ট করার আগে লাইনটা পড়ুন। | sh, | bash, base64 আর osascript মানে সেটা কিছু একটা চালায়।
• কোনো ওয়েবসাইট, captcha বা "নষ্ট" ডাউনলোড ঠিক করতে আসলে কখনো Terminal লাগে না।
• কোনো লাইন যদি আপনার পাসওয়ার্ড চায়, থামুন আর নিজেকে জিজ্ঞেস করুন সেটা কীসের জন্য।

11প্রশ্নোত্তর

আমার Mac হ্যাক হয়েছে। প্রথমে কী করব?

ইন্টারনেট থেকে বিচ্ছিন্ন করুন, তারপর অন্য একটা ডিভাইস থেকে আপনার Apple Account, ইমেল আর ব্যাংকের পাসওয়ার্ড বদলান এবং বাকি সব সেশন থেকে সাইন আউট করুন। যে ক্রিপ্টোর recovery phrase ওই Mac-এ ছিল, সেটা একটা পরিষ্কার ডিভাইসে তৈরি নতুন ওয়ালেটে সরান। তারপর এই পেজের চেকগুলো করুন বা Mac মুছে ফেলুন।

আমার Mac এখন হ্যাক হয়ে আছে কিনা কীভাবে বুঝব?

এমন login items বা launch agents খুঁজুন যা আপনি চেনেন না, এমন shell ফাইল যা আপনি বদলাননি, যেসব অ্যাপ macOS গ্রহণ করে না, আর ইন্টারনেট কানেকশন থাকা অচেনা প্রোগ্রাম। আপনি কিছু না করতেই পাসওয়ার্ড চাওয়া আর ব্রাউজারের সেটিংস নিজে থেকে বদলে যাওয়াও লক্ষণ।

macOS বলেছে malware ব্লক করে Trash-এ সরানো হয়েছে। আমি কি নিরাপদ?

এর মানে XProtect একটা পরিচিত ক্ষতিকর ফাইল চিনতে পেরে সেটা চলার আগেই সরিয়ে দিয়েছে। ফাইলটা কোথা থেকে এসেছে দেখুন আর ওপরের চেকগুলো করুন: একই সাইট বা ইমেল এমন কিছুও পাঠিয়ে থাকতে পারে যা XProtect চিনতে পারেনি।

Terminal-এ কমান্ড পেস্ট করা কি নিরাপদ?

শুধু তখনই, যখন সাইটের ঠিকানা আপনি নিজে টাইপ করেছেন আর জানেন লাইনটা কী করে। বিজ্ঞাপন, পপ-আপ, "verify you are human" পেজ বা চ্যাট থেকে আসা লাইন কখনো পেস্ট করবেন না। সেটা যদি কোনো ডাউনলোড sh বা bash-এ পাইপ করে, base64 ডিকোড করে বা আপনার পাসওয়ার্ড চায়, থেমে যান।

আমাকে কি Mac মুছে ফেলতে হবে?

যা পেয়েছেন তা চিনে সরাতে না পারলে, বা Mac-এ অনেক টাকার recovery phrase বা keys থাকলে, মুছে ফেলাই নিরাপদ পথ। আপনার ডকুমেন্টের ব্যাকআপ নিন, অ্যাপের নয়, আর একদম শুরু থেকে আবার সাইন ইন করুন।