Nag-paste ng command sa Terminal? Suriin ang Mac mo ngayon.

1Ano ang ginagawa ng na-paste na linya

Mula noong huling bahagi ng 2025, may mga pekeng page ng AI tools at mga search ad na "linisin ang Mac mo" na nagpapabukas sa mga user ng Mac ng Terminal at nagpapa-paste ng isang linya. Nasubaybayan ng Sophos ang tatlong campaign mula Nobyembre 2025 hanggang Pebrero 2026 na nag-install ng MacSync stealer sa ganitong paraan: nagda-download ang linya ng script, hinihingi ang password ng Mac mo, saka kinukuha ang keychain data, mga naka-save na login at mga recovery phrase ng crypto wallet (The Hacker News, 16 Marso 2026). Iniuulat ng Microsoft ang parehong pain para sa mga stealer na Atomic (AMOS), MacSync at DigitStealer, na kadalasang naaabot sa pamamagitan ng search ads (Security Affairs tungkol sa ulat ng Microsoft, 4 Pebrero 2026).

Kung bakit walang nagbabala: nagtatanong ang macOS bago mo unang buksan ang software na na-download mula sa internet (Apple Platform Security), at nalalaman nitong galing sa internet ang isang file dahil sa quarantine flag na inilalagay ng mga browser. Ang mga file na kinuha gamit ang curl sa Terminal ay maaaring walang flag na iyon (MITRE ATT&CK T1553.001), at ang script na diretsong ipinasa sa bash ay hindi kailanman binubuksan bilang app, kaya hindi lumalabas ang prompt.

Kadalasan ganito ang hitsura ng mga linya, may web address sa gitna:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Check 1: login items at background apps

Buksan ang System Settings → General → Login Items & Extensions (sa macOS 14 at mas luma: Login Items). Tingnan ang Open at Login at Allow in the Background.

Sulit tingnang mabuti ang anumang hindi mo kilala, lalo na ang item na kakaiba ang pangalan, walang nakalagay na developer, o lumitaw noong araw na nag-paste ka ng command. Ang pag-off sa isang background item ay pumipigil dito na magsimula ulit; hindi nito ito binubura.

3Check 2: launch agents at daemons

Ang mga program na kusang nagsisimula ay nag-iiwan ng maliit na file sa isa sa tatlong folder. Inililista ito ng command na ito, pinakabago muna:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Karamihan ng pangalan ay mukhang com.company.app.plist. Hanapin ang mga file na may petsang malapit sa araw na nag-paste ka ng command, mga pangalang gumagaya sa Apple (com.apple…) sa loob ng sarili mong Library folder, o mga pangalang gawa sa random na letra. Para makita kung aling program ang sinisimulan ng isang file, palitan ang NAME ng pangalan nito:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Check 3: ang mga shell startup file mo

Pinapatakbo ng shell mo ang mga file na ito tuwing bubukas ang Terminal, kaya puwedeng magtago roon ng linya ang isang stealer. Ipinapakita nito kung kailan huling binago ang bawat isa:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Kung may nagbago sa araw na hindi mo maalalang in-edit mo ito, tingnan ang mga huling linya nito:

tail -n 20 ~/.zshrc

Ang mga linyang hindi ikaw ang sumulat at bumabanggit ng curl, base64, osascript o web address ay isang natuklasan.

5Check 4: ang na-paste mo

Itinatabi ng Terminal ang mga linyang pinatakbo mo. Ipinapakita nito ang huling 30 na nag-download o nag-decode ng kung ano:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Check 5: mga app na hindi tatanggapin ng macOS

Kayang sabihin ng Gatekeeper ng macOS kung aling mga app sa Applications folder mo ang hindi nito tatanggapin (hindi naka-sign ng kilalang developer, o hindi nasuri ng Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

May mga luma o open-source na app na lumalabas dito at ayos lang. Ang app na hindi mo maalalang in-install mo ang natuklasan. Gawin din ito sa mata para sa Downloads folder mo, pinakabago muna:

ls -lt ~/Downloads | head -n 20

7Check 6: remote access at mga profile

Buksan ang System Settings → General → Sharing. Dapat naka-off ang Screen Sharing, Remote Login, Remote Management at File Sharing maliban kung ikaw mismo ang gumagamit nito.

Pagkatapos, buksan ang System Settings → General → Device Management (sa mas lumang macOS: Privacy & Security → Profiles). Ang profile na hindi ikaw ang nag-install ay puwedeng magpadaan ng browsing mo sa server ng iba o magpatiwala sa mga certificate nila. Mag-alis lang ng profile kung sigurado kang hindi ito galing sa paaralan o employer mo.

8Check 7: sino ang kumakausap sa internet

Binibilang nito ang mga bukas na internet connection ng bawat program:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Normal ang browser mo, Mail, Messages at iCloud. Ang pangalang hindi mo kilala, o script runner gaya ng osascript, python3 o curl na may hawak na connection, ay sulit tingnan. Para makita ang mga program na naghihintay ng connection mula sa ibang computer:

lsof -nP -iTCP -sTCP:LISTEN

9Kung may makita ka

1. Mag-disconnect sa Wi-Fi at tanggalin ang anumang network cable.
2. Mula sa ibang device, palitan muna ang mga password ng Apple Account, email at bangko mo, i-sign out ang lahat ng iba pang session, at i-on ang two-factor authentication.
3. Ituring na nawala ang bawat crypto wallet na ang recovery phrase o keys ay nasa Mac na ito. Gumawa ng bagong wallet sa malinis na device at ilipat ang pondo. Maaaring hawak na ng stealer ang phrase, at hindi na mababawi ang transfer. Tingnan ang kaligtasan ng crypto wallet.
4. Alisin ang nakita mo: i-quit ito sa Activity Monitor, burahin ang launch agent file at ang app, at mag-restart. Kung hindi ka sigurado kung nakita mo na ang lahat, i-back up ang mga dokumento mo (hindi ang mga app) at burahin ang Mac: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. May nakitang alert na na-block ang malware at inilipat sa Trash? Iyan ang XProtect, ang built-in na proteksyon ng Mac, na nag-aalis ng file na nakilala nito. Mabuti, pero suriin kung saan galing ang file: maaaring may ipinadala pang iba ang parehong site. Tingnan ang ginagawa ng built-in na proteksyon ng Mac.

10Bago ka mag-paste ulit ng kahit ano sa Terminal

• Ikaw mismo ang mag-type ng address ng site; huwag sumunod sa ad o link sa chat.
• Basahin ang linya bago mo i-paste. Ang | sh, | bash, base64 at osascript ay nangangahulugang may pinapatakbo ito.
• Walang tunay na solusyon para sa website, captcha o "sirang" download na nangangailangan ng Terminal.
• Kung humihingi ng password mo ang isang linya, huminto at tanungin ang sarili kung para saan ito.

11Mga tanong

Na-hack ang Mac ko. Ano ang una kong gagawin?

Idiskonekta ito sa internet, saka gumamit ng ibang device para palitan ang mga password ng Apple Account, email at bangko mo at i-sign out ang lahat ng iba pang session. Ilipat ang anumang crypto na ang recovery phrase ay nasa Mac sa bagong wallet na ginawa sa malinis na device. Pagkatapos, gawin ang mga check sa page na ito o burahin ang Mac.

Paano ko malalaman kung na-hack ang Mac ko ngayon?

Hanapin ang login items o launch agents na hindi mo kilala, shell files na hindi mo binago, mga app na hindi tatanggapin ng macOS, at mga hindi kilalang program na may internet connection. Palatandaan din ang mga password prompt na hindi ikaw ang nag-trigger at mga browser setting na kusang nagbago.

Sabi ng macOS na-block ang malware at inilipat sa Trash. Ligtas ba ako?

Ibig sabihin, nakilala ng XProtect ang isang kilalang mapanganib na file at inalis ito bago tumakbo. Suriin kung saan galing ang file at gawin ang mga check sa itaas: maaaring may naipadala ang parehong site o email na hindi nakilala ng XProtect.

Ligtas bang mag-paste ng command sa Terminal?

Kapag ikaw lang mismo ang nag-type ng address ng site at alam mo kung ano ang ginagawa ng linya. Huwag kailanman mag-paste ng linya mula sa ad, pop-up, page na "patunayang tao ka" o chat. Kung ipinapasa nito ang download sa sh o bash, nagde-decode ng base64 o humihingi ng password mo, huminto.

Kailangan ko bang burahin ang Mac ko?

Kung hindi mo matukoy at maalis ang nakita mo, o may mga recovery phrase o key sa Mac na malaki ang halaga, ang pagbura ang ligtas na pagpili. I-back up ang mga dokumento mo, hindi ang mga app, at mag-sign in ulit mula sa simula.