دستوری را در Terminal پیست کردید؟ همین حالا Mac را بررسی کنید.

1خطی که پیست کردید چه می‌کند

از اواخر 2025، صفحه‌های جعلی ابزارهای هوش مصنوعی و تبلیغات جست‌وجوی «Mac خود را پاک‌سازی کنید» از کاربران Mac خواسته‌اند Terminal را باز کنند و یک خط را پیست کنند. Sophos سه کارزار را بین نوامبر 2025 و فوریه 2026 ردیابی کرد که بدافزار سارق MacSync را به این روش نصب می‌کردند: این خط یک اسکریپت دانلود می‌کند، رمز عبور Mac شما را می‌خواهد و سپس داده‌های Keychain، اطلاعات ورود ذخیره‌شده و عبارت‌های بازیابی کیف پول‌های رمزارز را برمی‌دارد (The Hacker News، 16 مارس 2026). Microsoft هم از همین طعمه‌ها برای بدافزارهای سارق Atomic (AMOS)، MacSync و DigitStealer خبر می‌دهد که اغلب از راه تبلیغات جست‌وجو به آن‌ها می‌رسند (Security Affairs درباره گزارش Microsoft، 4 فوریه 2026).

چرا هیچ هشداری ندیدید: macOS پیش از اولین باز کردن نرم‌افزاری که از اینترنت دانلود شده از شما می‌پرسد (Apple Platform Security)، و از روی برچسب قرنطینه‌ای (quarantine) که مرورگرها می‌گذارند می‌فهمد فایل از اینترنت آمده است. فایل‌هایی که با curl در Terminal دریافت می‌شوند ممکن است این برچسب را نگیرند (MITRE ATT&CK T1553.001)، و اسکریپتی که مستقیم به bash داده می‌شود اصلاً به‌عنوان اپ باز نمی‌شود، پس آن پیام هرگز ظاهر نمی‌شود.

این خط‌ها معمولاً شبیه یکی از این‌ها هستند و یک آدرس وب در وسطشان است:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2بررسی 1: آیتم‌های ورود و اپ‌های پس‌زمینه

System Settings → General → Login Items & Extensions را باز کنید (در macOS 14 و قدیمی‌تر: Login Items). بخش‌های Open at Login (باز شدن هنگام ورود) و Allow in the Background (اجازه در پس‌زمینه) را نگاه کنید.

هر چیزی که نمی‌شناسید ارزش نگاه دقیق‌تری دارد، به‌ویژه آیتمی با نام عجیب، بدون نام توسعه‌دهنده، یا آیتمی که همان روزی که دستور را پیست کردید ظاهر شده است. خاموش کردن یک آیتم پس‌زمینه جلوی اجرای دوباره‌اش را می‌گیرد، اما آن را حذف نمی‌کند.

3بررسی 2: Launch Agentها و Daemonها

برنامه‌هایی که خودبه‌خود اجرا می‌شوند فایل کوچکی در یکی از سه پوشه می‌گذارند. این دستور آن‌ها را فهرست می‌کند، جدیدترین اول:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

بیشتر نام‌ها شبیه com.company.app.plist هستند. دنبال فایل‌هایی بگردید که تاریخشان نزدیک روزی است که دستور را پیست کردید، نام‌هایی که از Apple تقلید می‌کنند (com.apple…) داخل پوشه Library خودتان، یا نام‌هایی از حروف تصادفی. برای دیدن اینکه یک فایل کدام برنامه را اجرا می‌کند، NAME را با نام آن جایگزین کنید:

plutil -p ~/Library/LaunchAgents/NAME.plist

4بررسی 3: فایل‌های راه‌اندازی شل

شل شما هر بار که Terminal باز می‌شود این فایل‌ها را اجرا می‌کند، پس یک بدافزار سارق می‌تواند خطی را در آن‌ها پنهان کند. این دستور نشان می‌دهد هر کدام آخرین بار کی تغییر کرده است:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

اگر یکی از آن‌ها در روزی تغییر کرده که یادتان نمی‌آید ویرایشش کرده باشید، خط‌های آخرش را ببینید:

tail -n 20 ~/.zshrc

خط‌هایی که خودتان ننوشته‌اید و در آن‌ها curl، base64، osascript یا یک آدرس وب آمده، یافته‌ای جدی است.

5بررسی 4: آنچه پیست کردید

Terminal خط‌هایی را که اجرا کرده‌اید نگه می‌دارد. این دستور 30 خط آخری را نشان می‌دهد که چیزی دانلود یا رمزگشایی کرده‌اند:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6بررسی 5: اپ‌هایی که macOS نمی‌پذیرد

Gatekeeper در macOS می‌تواند بگوید کدام اپ‌های پوشه Applications را نمی‌پذیرد (امضانشده توسط توسعه‌دهنده‌ای شناخته‌شده، یا بررسی‌نشده توسط Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

بعضی اپ‌های قدیمی یا متن‌باز اینجا دیده می‌شوند و مشکلی ندارند. اپی که یادتان نمی‌آید نصبش کرده باشید، یافته اصلی است. همین کار را با چشم برای پوشه Downloads انجام دهید، جدیدترین اول:

ls -lt ~/Downloads | head -n 20

7بررسی 6: دسترسی از راه دور و پروفایل‌ها

System Settings → General → Sharing را باز کنید. Screen Sharing (اشتراک صفحه)، Remote Login (ورود از راه دور)، Remote Management (مدیریت از راه دور) و File Sharing (اشتراک فایل) باید خاموش باشند، مگر اینکه خودتان از آن‌ها استفاده کنید.

سپس System Settings → General → Device Management را باز کنید (در macOS قدیمی‌تر: Privacy & Security → Profiles). پروفایلی که خودتان نصب نکرده‌اید می‌تواند مرور وب شما را از سرور شخص دیگری عبور دهد یا گواهی‌های او را معتبر بداند. فقط وقتی پروفایلی را حذف کنید که مطمئن باشید از طرف مدرسه یا کارفرمای شما نیست.

8بررسی 7: چه کسی با اینترنت حرف می‌زند

این دستور اتصال‌های باز اینترنت را برای هر برنامه می‌شمارد:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

مرورگر، Mail، Messages و iCloud عادی‌اند. نامی که نمی‌شناسید، یا اجراکننده اسکریپتی مثل osascript، python3 یا curl که اتصال باز نگه داشته، ارزش بررسی دارد. برای دیدن برنامه‌هایی که منتظر اتصال از رایانه‌های دیگرند:

lsof -nP -iTCP -sTCP:LISTEN

9اگر چیزی پیدا کردید

1. اتصال را قطع کنید: Wi-Fi را خاموش کنید و هر کابل شبکه را جدا کنید.
2. از دستگاهی دیگر، اول رمزهای عبور حساب Apple، ایمیل و بانک خود را عوض کنید، از همه نشست‌های دیگر خارج شوید و احراز هویت دومرحله‌ای را روشن کنید.
3. هر کیف پول رمزارزی را که عبارت بازیابی یا کلیدهایش روی این Mac بوده ازدست‌رفته فرض کنید. کیف پول تازه‌ای روی دستگاهی سالم بسازید و دارایی را به آن منتقل کنید. ممکن است بدافزار سارق عبارت را از قبل داشته باشد، و انتقال برگشت‌پذیر نیست. امنیت کیف پول رمزارز را ببینید.
4. آنچه پیدا کردید را حذف کنید: آن را در Activity Monitor ببندید، فایل Launch Agent و اپ را حذف کنید و Mac را ری‌استارت کنید. اگر مطمئن نیستید همه‌چیز را پیدا کرده‌اید، از اسنادتان (نه اپ‌ها) پشتیبان بگیرید و Mac را پاک کنید: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. هشداری دیدید که بدافزاری مسدود و به Trash منتقل شد؟ این کار XProtect، محافظ داخلی Mac، است که فایلی را که شناخته حذف می‌کند. خوب است، اما ببینید فایل از کجا آمده: ممکن است همان سایت چیزهای دیگری هم فرستاده باشد. محافظ داخلی Mac چه می‌کند را ببینید.

10پیش از آنکه دوباره چیزی را در Terminal پیست کنید

• آدرس سایت را خودتان تایپ کنید؛ دنبال تبلیغ یا لینکی در گفت‌وگو نروید.
• خط را پیش از پیست کردن بخوانید. | sh، | bash، base64 و osascript یعنی چیزی را اجرا می‌کند.
• هیچ راه‌حل واقعی برای یک سایت، یک کپچا یا یک دانلود «خراب» به Terminal نیاز ندارد.
• اگر خطی رمز عبورتان را خواست، دست نگه دارید و از خودتان بپرسید برای چیست.

11پرسش‌ها

Mac من هک شده. اول چه کار کنم؟

اتصالش را به اینترنت قطع کنید، سپس با دستگاهی دیگر رمزهای عبور حساب Apple، ایمیل و بانک را عوض کنید و از همه نشست‌های دیگر خارج شوید. هر رمزارزی را که عبارت بازیابی‌اش روی Mac بوده به کیف پول تازه‌ای منتقل کنید که روی دستگاهی سالم ساخته شده است. بعد بررسی‌های این صفحه را انجام دهید یا Mac را پاک کنید.

از کجا بفهمم Mac من همین الان هک شده است؟

دنبال آیتم‌های ورود یا Launch Agentهایی بگردید که نمی‌شناسید، فایل‌های شلی که تغییرشان نداده‌اید، اپ‌هایی که macOS نمی‌پذیرد، و برنامه‌های ناشناسی که اتصال اینترنتی دارند. درخواست رمز عبوری که خودتان باعثش نبوده‌اید و تنظیمات مرورگری که خودبه‌خود تغییر کرده هم نشانه‌اند.

macOS گفت بدافزاری مسدود و به Trash منتقل شد. آیا در امانم؟

یعنی XProtect یک فایل مخرب شناخته‌شده را تشخیص داده و پیش از اجرا حذفش کرده است. ببینید فایل از کجا آمده و بررسی‌های بالا را انجام دهید: ممکن است همان سایت یا ایمیل چیزی فرستاده باشد که XProtect نشناخته است.

آیا پیست کردن دستور در Terminal امن است؟

فقط وقتی آدرس سایت را خودتان تایپ کرده‌اید و می‌دانید آن خط چه می‌کند. هرگز خطی را از یک تبلیغ، پنجره بازشو، صفحه «تأیید کنید که انسان هستید» یا یک گفت‌وگو پیست نکنید. اگر دانلودی را به sh یا bash می‌دهد، base64 را رمزگشایی می‌کند یا رمز عبورتان را می‌خواهد، دست نگه دارید.

آیا باید Mac را پاک کنم؟

اگر نمی‌توانید آنچه پیدا کرده‌اید را شناسایی و حذف کنید، یا Mac عبارت‌های بازیابی یا کلیدهایی با ارزش زیاد داشته، پاک کردن انتخاب امن است. از اسنادتان پشتیبان بگیرید، نه از اپ‌ها، و از صفر دوباره وارد حساب‌هایتان شوید.