Επικολλήσατε εντολή στο Τερματικό; Ελέγξτε τώρα το Mac σας.

1Τι κάνει η γραμμή που επικολλήσατε

Από τα τέλη του 2025, ψεύτικες σελίδες για εργαλεία AI και διαφημίσεις αναζήτησης του τύπου "καθαρίστε το Mac σας" ζητούν από χρήστες Mac να ανοίξουν το Τερματικό και να επικολλήσουν μία γραμμή. Η Sophos εντόπισε τρεις καμπάνιες μεταξύ Νοεμβρίου 2025 και Φεβρουαρίου 2026 που εγκατέστησαν έτσι τον κλέφτη δεδομένων MacSync: η γραμμή κατεβάζει ένα σενάριο, ζητά τον κωδικό του Mac σας και μετά παίρνει δεδομένα της κλειδοθήκης, αποθηκευμένους κωδικούς σύνδεσης και φράσεις ανάκτησης πορτοφολιών κρυπτονομισμάτων (The Hacker News, 16 Μαρτίου 2026). Η Microsoft αναφέρει τα ίδια δολώματα για τους κλέφτες δεδομένων Atomic (AMOS), MacSync και DigitStealer, που συχνά φτάνουν σε εσάς μέσω διαφημίσεων αναζήτησης (Security Affairs για την αναφορά της Microsoft, 4 Φεβρουαρίου 2026).

Γιατί τίποτα δεν σας προειδοποίησε: το macOS ρωτά πριν ανοίξετε για πρώτη φορά λογισμικό που κατεβάσατε από το διαδίκτυο (Ασφάλεια πλατφόρμας Apple) και καταλαβαίνει ότι ένα αρχείο ήρθε από το διαδίκτυο από μια σήμανση καραντίνας που βάζουν οι φυλλομετρητές. Τα αρχεία που κατεβαίνουν με curl στο Τερματικό μπορεί να μην την πάρουν (MITRE ATT&CK T1553.001), και ένα σενάριο που διοχετεύεται κατευθείαν στο bash δεν ανοίγει ποτέ ως εφαρμογή, οπότε η ερώτηση δεν εμφανίζεται ποτέ.

Οι γραμμές συνήθως μοιάζουν με μία από αυτές, με μια διεύθυνση ιστού στη μέση:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Έλεγχος 1: στοιχεία σύνδεσης και εφαρμογές παρασκηνίου

Ανοίξτε Ρυθμίσεις συστήματος → Γενικά → Στοιχεία σύνδεσης και επεκτάσεις (σε macOS 14 και παλαιότερα: Στοιχεία σύνδεσης). Κοιτάξτε τις ενότητες Open at Login και Allow in the Background.

Οτιδήποτε δεν αναγνωρίζετε αξίζει μια πιο προσεκτική ματιά, κυρίως ένα στοιχείο με περίεργο όνομα, χωρίς προγραμματιστή ή που εμφανίστηκε τη μέρα που επικολλήσατε την εντολή. Αν απενεργοποιήσετε ένα στοιχείο παρασκηνίου, δεν θα ξεκινήσει ξανά· δεν διαγράφεται όμως.

3Έλεγχος 2: launch agents και daemons

Τα προγράμματα που ξεκινούν μόνα τους αφήνουν ένα μικρό αρχείο σε έναν από τρεις φακέλους. Αυτή η εντολή τα εμφανίζει, τα νεότερα πρώτα:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Τα περισσότερα ονόματα μοιάζουν με com.company.app.plist. Ψάξτε για αρχεία με ημερομηνία κοντά στη μέρα που επικολλήσατε την εντολή, ονόματα που μιμούνται την Apple (com.apple…) μέσα στον δικό σας φάκελο Library ή ονόματα από τυχαία γράμματα. Για να δείτε ποιο πρόγραμμα ξεκινά ένα αρχείο, αντικαταστήστε το NAME με το όνομά του:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Έλεγχος 3: τα αρχεία εκκίνησης του κελύφους σας

Το κέλυφός σας εκτελεί αυτά τα αρχεία κάθε φορά που ανοίγει το Τερματικό, οπότε ένας κλέφτης δεδομένων μπορεί να κρύψει εκεί μια γραμμή. Αυτή η εντολή δείχνει πότε άλλαξε τελευταία φορά το καθένα:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Αν κάποιο άλλαξε σε μια μέρα που δεν θυμάστε να το επεξεργαστήκατε, δείτε τις τελευταίες γραμμές του:

tail -n 20 ~/.zshrc

Γραμμές που δεν γράψατε εσείς και αναφέρουν curl, base64, osascript ή μια διεύθυνση ιστού είναι εύρημα.

5Έλεγχος 4: τι επικολλήσατε

Το Τερματικό κρατά τις γραμμές που εκτελέσατε. Αυτή η εντολή δείχνει τις τελευταίες 30 που κατέβασαν ή αποκωδικοποίησαν κάτι:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Έλεγχος 5: εφαρμογές που το macOS δεν θα δεχόταν

Το Gatekeeper του macOS μπορεί να σας πει ποιες εφαρμογές στον φάκελο Εφαρμογές δεν θα δεχόταν (δεν είναι υπογεγραμμένες από ταυτοποιημένο προγραμματιστή ή δεν έχουν ελεγχθεί από την Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Κάποιες παλιές εφαρμογές ή εφαρμογές ανοιχτού κώδικα εμφανίζονται εδώ και είναι εντάξει. Εύρημα είναι μια εφαρμογή που δεν θυμάστε να εγκαταστήσατε. Κάντε το ίδιο με το μάτι για τον φάκελο Λήψεις, τα νεότερα πρώτα:

ls -lt ~/Downloads | head -n 20

7Έλεγχος 6: απομακρυσμένη πρόσβαση και προφίλ

Ανοίξτε Ρυθμίσεις συστήματος → Γενικά → Κοινή χρήση. Τα Κοινή χρήση οθόνης, Απομακρυσμένη σύνδεση, Απομακρυσμένη διαχείριση και Κοινή χρήση αρχείων πρέπει να είναι απενεργοποιημένα, εκτός αν τα χρησιμοποιείτε εσείς.

Μετά ανοίξτε Ρυθμίσεις συστήματος → Γενικά → Διαχείριση συσκευών (σε παλαιότερο macOS: Απόρρητο και ασφάλεια → Προφίλ). Ένα προφίλ που δεν εγκαταστήσατε εσείς μπορεί να περνά την περιήγησή σας από τον διακομιστή κάποιου άλλου ή να εμπιστεύεται τα πιστοποιητικά του. Αφαιρέστε ένα μόνο αν είστε σίγουροι ότι δεν είναι από το σχολείο ή τον εργοδότη σας.

8Έλεγχος 7: ποιος μιλά με το διαδίκτυο

Αυτή η εντολή μετρά τις ανοιχτές συνδέσεις στο διαδίκτυο ανά πρόγραμμα:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Ο φυλλομετρητής σας, το Mail, τα Μηνύματα και το iCloud είναι φυσιολογικά. Ένα όνομα που δεν γνωρίζετε ή ένα πρόγραμμα εκτέλεσης σεναρίων όπως osascript, python3 ή curl με ανοιχτές συνδέσεις αξίζει μια ματιά. Για να δείτε προγράμματα που περιμένουν συνδέσεις από άλλους υπολογιστές:

lsof -nP -iTCP -sTCP:LISTEN

9Αν βρείτε κάτι

1. Αποσυνδεθείτε από το Wi-Fi και βγάλτε κάθε καλώδιο δικτύου.
2. Από άλλη συσκευή, αλλάξτε πρώτα τους κωδικούς του Λογαριασμού Apple, του email και της τράπεζάς σας, αποσυνδέστε κάθε άλλη συνεδρία και ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων.
3. Θεωρήστε χαμένο κάθε πορτοφόλι κρυπτονομισμάτων του οποίου η φράση ανάκτησης ή τα κλειδιά βρίσκονταν σε αυτό το Mac. Φτιάξτε νέο πορτοφόλι σε καθαρή συσκευή και μεταφέρετε τα κεφάλαια. Ένας κλέφτης δεδομένων μπορεί να έχει ήδη τη φράση, και μια μεταφορά δεν αναιρείται. Δείτε την ασφάλεια πορτοφολιών κρυπτονομισμάτων.
4. Αφαιρέστε ό,τι βρήκατε: τερματίστε το στην Παρακολούθηση δραστηριότητας, διαγράψτε το αρχείο launch agent και την εφαρμογή και κάντε επανεκκίνηση. Αν δεν είστε σίγουροι ότι τα βρήκατε όλα, κρατήστε αντίγραφο των εγγράφων σας (όχι των εφαρμογών) και σβήστε το Mac: Ρυθμίσεις συστήματος → Γενικά → Μεταφορά ή επαναφορά → Διαγραφή όλου του περιεχομένου και των ρυθμίσεων.
5. Είδατε ειδοποίηση ότι κακόβουλο λογισμικό μπλοκαρίστηκε και μετακινήθηκε στον Κάδο; Αυτό είναι το XProtect, η ενσωματωμένη προστασία του Mac, που αφαίρεσε ένα αρχείο που αναγνώρισε. Καλό, αλλά ελέγξτε από πού ήρθε το αρχείο: ο ίδιος ιστότοπος μπορεί να έστειλε κι άλλα. Δείτε τι κάνει η ενσωματωμένη προστασία του Mac.

10Πριν επικολλήσετε ξανά οτιδήποτε στο Τερματικό

• Πληκτρολογήστε μόνοι σας τη διεύθυνση του ιστότοπου· μην ακολουθείτε διαφήμιση ή σύνδεσμο σε συνομιλία.
• Διαβάστε τη γραμμή πριν την επικολλήσετε. Τα | sh, | bash, base64 και osascript σημαίνουν ότι εκτελεί κάτι.
• Καμία πραγματική λύση για έναν ιστότοπο, ένα captcha ή μια "χαλασμένη" λήψη δεν χρειάζεται το Τερματικό.
• Αν μια γραμμή ζητά τον κωδικό σας, σταματήστε και αναρωτηθείτε σε τι χρειάζεται.

11Ερωτήσεις

Το Mac μου χακαρίστηκε. Τι κάνω πρώτα;

Αποσυνδέστε το από το διαδίκτυο και μετά, από άλλη συσκευή, αλλάξτε τους κωδικούς του Λογαριασμού Apple, του email και της τράπεζάς σας και αποσυνδέστε κάθε άλλη συνεδρία. Μεταφέρετε όσα κρυπτονομίσματα είχαν τη φράση ανάκτησής τους στο Mac σε νέο πορτοφόλι που φτιάξατε σε καθαρή συσκευή. Μετά κάντε τους ελέγχους αυτής της σελίδας ή σβήστε το Mac.

Πώς καταλαβαίνω αν το Mac μου είναι χακαρισμένο αυτή τη στιγμή;

Ψάξτε για στοιχεία σύνδεσης ή launch agents που δεν αναγνωρίζετε, αρχεία κελύφους που δεν αλλάξατε, εφαρμογές που το macOS δεν θα δεχόταν και άγνωστα προγράμματα με συνδέσεις στο διαδίκτυο. Ερωτήσεις για κωδικό που δεν προκαλέσατε εσείς και ρυθμίσεις του φυλλομετρητή που άλλαξαν μόνες τους είναι επίσης σημάδια.

Το macOS είπε ότι κακόβουλο λογισμικό μπλοκαρίστηκε και μετακινήθηκε στον Κάδο. Είμαι ασφαλής;

Σημαίνει ότι το XProtect αναγνώρισε ένα γνωστό κακόβουλο αρχείο και το αφαίρεσε πριν εκτελεστεί. Ελέγξτε από πού ήρθε το αρχείο και κάντε τους παραπάνω ελέγχους: ο ίδιος ιστότοπος ή το ίδιο email μπορεί να έφερε και κάτι που το XProtect δεν αναγνώρισε.

Είναι ασφαλές να επικολλήσω μια εντολή στο Τερματικό;

Μόνο όταν πληκτρολογήσατε μόνοι σας τη διεύθυνση του ιστότοπου και ξέρετε τι κάνει η γραμμή. Μην επικολλάτε ποτέ γραμμή από διαφήμιση, αναδυόμενο παράθυρο, σελίδα "επιβεβαιώστε ότι είστε άνθρωπος" ή συνομιλία. Αν διοχετεύει μια λήψη στο sh ή στο bash, αποκωδικοποιεί base64 ή ζητά τον κωδικό σας, σταματήστε.

Πρέπει να σβήσω το Mac μου;

Αν δεν μπορείτε να εντοπίσετε και να αφαιρέσετε αυτό που βρήκατε, ή αν το Mac είχε φράσεις ανάκτησης ή κλειδιά μεγάλης αξίας, το σβήσιμο είναι η ασφαλής επιλογή. Κρατήστε αντίγραφο των εγγράφων σας, όχι των εφαρμογών, και συνδεθείτε ξανά από την αρχή.