Terminal માં કમાન્ડ પેસ્ટ કર્યો? તમારું Mac હમણાં તપાસો.

1પેસ્ટ કરેલી લાઇન શું કરે છે

2025 ના અંતથી, AI ટૂલ્સનાં નકલી પેજ અને "તમારું Mac સાફ કરો" જેવી સર્ચ જાહેરાતો Mac વાપરનારાઓને Terminal ખોલીને એક લાઇન પેસ્ટ કરવાનું કહે છે. Sophos એ નવેમ્બર 2025 થી ફેબ્રુઆરી 2026 વચ્ચે ત્રણ ઝુંબેશો શોધી, જેણે આ રીતે MacSync સ્ટીલર ઇન્સ્ટૉલ કર્યો: લાઇન એક સ્ક્રિપ્ટ ડાઉનલોડ કરે છે, તમારા Mac નો પાસવર્ડ માગે છે, પછી keychain નો ડેટા, સેવ કરેલા લૉગિન અને ક્રિપ્ટો વૉલેટની રિકવરી ફ્રેઝ લઈ જાય છે (The Hacker News, 16 માર્ચ 2026). Microsoft પણ Atomic (AMOS), MacSync અને DigitStealer સ્ટીલર્સ માટે આવી જ લાલચ નોંધે છે, જે ઘણી વાર સર્ચ જાહેરાતો દ્વારા પહોંચે છે (Microsoft ના રિપોર્ટ પર Security Affairs, 4 ફેબ્રુઆરી 2026).

કંઈએ ચેતવણી કેમ ન આપી: ઇન્ટરનેટ પરથી ડાઉનલોડ કરેલું સૉફ્ટવેર તમે પહેલી વાર ખોલો તે પહેલાં macOS પૂછે છે (Apple Platform Security), અને ફાઇલ ઇન્ટરનેટ પરથી આવી છે તે બ્રાઉઝર લગાવે છે એ quarantine ફ્લૅગ પરથી જાણે છે. Terminal માં curl વડે લાવેલી ફાઇલોને એ ફ્લૅગ ન પણ મળે (MITRE ATT&CK T1553.001), અને સીધી bash માં પાઇપ કરેલી સ્ક્રિપ્ટ ક્યારેય ઍપ તરીકે ખૂલતી જ નથી, તેથી પ્રૉમ્પ્ટ દેખાતો જ નથી.

આવી લાઇનો સામાન્ય રીતે આમાંથી કોઈ એક જેવી દેખાય છે, વચ્ચે વેબ સરનામું હોય છે:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2તપાસ 1: લૉગિન આઇટમ્સ અને બૅકગ્રાઉન્ડ ઍપ્સ

System Settings → General → Login Items & Extensions (સિસ્ટમ સેટિંગ્સ → સામાન્ય → લૉગિન આઇટમ્સ) ખોલો (macOS 14 અને તેનાથી જૂનામાં: Login Items). Open at Login અને Allow in the Background જુઓ.

જે તમે ઓળખતા ન હો તે બધું નજીકથી જોવા જેવું છે, ખાસ કરીને વિચિત્ર નામવાળી આઇટમ, જેના ડેવલપરનું નામ ન દેખાય, અથવા જે તમે કમાન્ડ પેસ્ટ કર્યો તે જ દિવસે દેખાઈ હોય. બૅકગ્રાઉન્ડ આઇટમ બંધ કરવાથી તે ફરી શરૂ થતી અટકે છે; તે ડિલીટ થતી નથી.

3તપાસ 2: launch agents અને daemons

જે પ્રોગ્રામ જાતે શરૂ થાય છે તે ત્રણમાંથી એક ફોલ્ડરમાં નાની ફાઇલ મૂકે છે. આ કમાન્ડ તેમને બતાવે છે, સૌથી નવી પહેલાં:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

મોટા ભાગનાં નામ com.company.app.plist જેવાં હોય છે. તમે કમાન્ડ પેસ્ટ કર્યો તે દિવસની આસપાસની તારીખવાળી ફાઇલો, તમારા પોતાના Library ફોલ્ડરમાં Apple ની નકલ કરતાં નામ (com.apple…), કે આડાઅવળા અક્ષરોથી બનેલાં નામ શોધો. કોઈ ફાઇલ કયો પ્રોગ્રામ શરૂ કરે છે તે જોવા, NAME ની જગ્યાએ તેનું નામ મૂકો:

plutil -p ~/Library/LaunchAgents/NAME.plist

4તપાસ 3: તમારી shell સ્ટાર્ટઅપ ફાઇલો

Terminal ખૂલે ત્યારે દર વખતે તમારી shell આ ફાઇલો ચલાવે છે, તેથી સ્ટીલર ત્યાં એક લાઇન છુપાવી શકે. આ બતાવે છે કે દરેક ફાઇલ છેલ્લે ક્યારે બદલાઈ:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

જો કોઈ ફાઇલ એવા દિવસે બદલાઈ હોય જ્યારે તમે તેને એડિટ કર્યાનું યાદ ન હોય, તો તેની છેલ્લી લાઇનો જુઓ:

tail -n 20 ~/.zshrc

તમે ન લખી હોય અને જેમાં curl, base64, osascript કે વેબ સરનામું હોય એવી લાઇનો ધ્યાન આપવા જેવી શોધ છે.

5તપાસ 4: તમે શું પેસ્ટ કર્યું

તમે ચલાવેલી લાઇનો Terminal યાદ રાખે છે. આ કમાન્ડ એવી છેલ્લી 30 લાઇનો બતાવે છે જેણે કંઈ ડાઉનલોડ કે ડીકોડ કર્યું:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6તપાસ 5: macOS એ ન સ્વીકારી હોય એવી ઍપ્સ

macOS નું Gatekeeper તમને કહી શકે છે કે તમારા Applications ફોલ્ડરમાંની કઈ ઍપ્સ તે સ્વીકારશે નહીં (ઓળખાયેલા ડેવલપરે સાઇન ન કરી હોય, અથવા Apple એ ચકાસી ન હોય):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

કેટલીક જૂની કે ઓપન-સોર્સ ઍપ્સ અહીં દેખાય છે અને તે બરાબર છે. જે ઍપ ઇન્સ્ટૉલ કર્યાનું તમને યાદ ન હોય, તે જ શોધ છે. તમારા Downloads ફોલ્ડરને પણ એ જ રીતે નજરથી તપાસો, સૌથી નવી પહેલાં:

ls -lt ~/Downloads | head -n 20

7તપાસ 6: રિમોટ ઍક્સેસ અને પ્રોફાઇલ્સ

System Settings → General → Sharing ખોલો. Screen Sharing, Remote Login, Remote Management અને File Sharing બંધ હોવા જોઈએ, સિવાય કે તમે પોતે તેનો ઉપયોગ કરતા હો.

પછી System Settings → General → Device Management ખોલો (જૂના macOS માં: Privacy & Security → Profiles). તમે ઇન્સ્ટૉલ ન કરી હોય એવી પ્રોફાઇલ તમારું બ્રાઉઝિંગ બીજા કોઈના સર્વર દ્વારા મોકલી શકે છે અથવા તેમનાં સર્ટિફિકેટ પર ભરોસો કરાવી શકે છે. પ્રોફાઇલ ત્યારે જ દૂર કરો જ્યારે તમને ખાતરી હોય કે તે તમારી શાળા કે નોકરીદાતાની નથી.

8તપાસ 7: ઇન્ટરનેટ સાથે કોણ વાત કરે છે

આ કમાન્ડ દરેક પ્રોગ્રામનાં ખુલ્લાં ઇન્ટરનેટ કનેક્શન ગણે છે:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

તમારું બ્રાઉઝર, Mail, Messages અને iCloud સામાન્ય છે. તમે ન ઓળખતા હો એવું નામ, કે osascript, python3 અથવા curl જેવો સ્ક્રિપ્ટ રનર કનેક્શન ખોલીને બેઠો હોય, તો તે જોવા જેવું છે. બીજાં કમ્પ્યુટરથી આવતાં કનેક્શનની રાહ જોતા પ્રોગ્રામ જોવા:

lsof -nP -iTCP -sTCP:LISTEN

9જો તમને કંઈ મળે

1. ડિસ્કનેક્ટ કરો: Wi-Fi બંધ કરો અને નેટવર્ક કેબલ હોય તો કાઢી નાખો.
2. બીજા ડિવાઇસ પરથી સૌથી પહેલાં તમારા Apple Account, ઇમેઇલ અને બૅન્કના પાસવર્ડ બદલો, બાકીનાં બધાં સેશનમાંથી સાઇન આઉટ કરો, અને two-factor authentication ચાલુ કરો.
3. જે ક્રિપ્ટો વૉલેટની રિકવરી ફ્રેઝ કે keys આ Mac પર હતી, તે દરેકને ગુમાવેલું ગણો. સ્વચ્છ ડિવાઇસ પર નવું વૉલેટ બનાવો અને ફંડ ખસેડો. સ્ટીલર પાસે ફ્રેઝ પહેલેથી હોઈ શકે, અને ટ્રાન્સફર પાછું ફેરવી શકાતું નથી. જુઓ ક્રિપ્ટો વૉલેટ સુરક્ષા.
4. જે મળ્યું તે દૂર કરો: Activity Monitor માં તેને બંધ કરો, launch agent ફાઇલ અને ઍપ ડિલીટ કરો, અને રીસ્ટાર્ટ કરો. જો તમને ખાતરી ન હોય કે બધું મળી ગયું છે, તો તમારા દસ્તાવેજોનો (ઍપ્સનો નહીં) બૅકઅપ લો અને Mac ઇરેઝ કરો: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. malware બ્લૉક થઈને Trash માં ખસેડાયું, એવી સૂચના જોઈ? એ XProtect છે, Mac નું બિલ્ટ-ઇન રક્ષણ, જેણે ઓળખેલી ફાઇલ દૂર કરી. સારું છે, પણ ફાઇલ ક્યાંથી આવી તે તપાસો: એ જ સાઇટે બીજું પણ મોકલ્યું હોઈ શકે. જુઓ Mac નું બિલ્ટ-ઇન રક્ષણ શું કરે છે.

10ફરી Terminal માં કંઈ પેસ્ટ કરતાં પહેલાં

• સાઇટનું સરનામું જાતે ટાઇપ કરો; જાહેરાત કે ચેટમાંની લિંક પર ન જાઓ.
• પેસ્ટ કરતાં પહેલાં લાઇન વાંચો. | sh, | bash, base64 અને osascript નો અર્થ છે કે તે કંઈક ચલાવે છે.
• વેબસાઇટ, captcha કે "ખરાબ" ડાઉનલોડના કોઈ સાચા ઉપાય માટે Terminal ની જરૂર પડતી નથી.
• જો કોઈ લાઇન તમારો પાસવર્ડ માગે, તો અટકો અને વિચારો કે તે શા માટે જોઈએ છે.

11પ્રશ્નો

મારું Mac હૅક થયું છે. સૌથી પહેલાં શું કરું?

તેને ઇન્ટરનેટથી ડિસ્કનેક્ટ કરો, પછી બીજા ડિવાઇસ પરથી તમારા Apple Account, ઇમેઇલ અને બૅન્કના પાસવર્ડ બદલો અને બાકીનાં બધાં સેશનમાંથી સાઇન આઉટ કરો. જે ક્રિપ્ટોની રિકવરી ફ્રેઝ Mac પર હતી, તેને સ્વચ્છ ડિવાઇસ પર બનાવેલા નવા વૉલેટમાં ખસેડો. પછી આ પેજ પરની તપાસ કરો અથવા Mac ઇરેઝ કરો.

મારું Mac અત્યારે હૅક થયું છે કે નહીં તે કેવી રીતે જાણું?

તમે ન ઓળખતા હો એવી લૉગિન આઇટમ્સ કે launch agents, તમે ન બદલી હોય એવી shell ફાઇલો, macOS એ ન સ્વીકારી હોય એવી ઍપ્સ, અને ઇન્ટરનેટ કનેક્શનવાળા અજાણ્યા પ્રોગ્રામ શોધો. તમે ન માગ્યા હોય એવા પાસવર્ડ પ્રૉમ્પ્ટ અને જાતે બદલાઈ ગયેલાં બ્રાઉઝર સેટિંગ્સ પણ સંકેત છે.

macOS એ કહ્યું કે malware બ્લૉક થઈને Trash માં ખસેડાયું. શું હું સુરક્ષિત છું?

તેનો અર્થ છે કે XProtect એ જાણીતી દુષ્ટ ફાઇલ ઓળખી અને તે ચાલે તે પહેલાં દૂર કરી. ફાઇલ ક્યાંથી આવી તે તપાસો અને ઉપરની તપાસ કરો: એ જ સાઇટ કે ઇમેઇલે એવું કંઈક પણ મોકલ્યું હોઈ શકે જે XProtect ઓળખી ન શક્યું.

Terminal માં કમાન્ડ પેસ્ટ કરવો સુરક્ષિત છે?

ફક્ત ત્યારે, જ્યારે સાઇટનું સરનામું તમે જાતે ટાઇપ કર્યું હોય અને લાઇન શું કરે છે તે તમે જાણતા હો. જાહેરાત, પૉપ-અપ, "verify you are human" પેજ કે ચેટમાંથી આવેલી લાઇન ક્યારેય પેસ્ટ ન કરો. જો તે ડાઉનલોડને sh કે bash માં પાઇપ કરે, base64 ડીકોડ કરે, અથવા તમારો પાસવર્ડ માગે, તો અટકો.

શું મારે Mac ઇરેઝ કરવું પડશે?

જે મળ્યું તે તમે ઓળખી કે દૂર ન કરી શકો, અથવા Mac પર ઘણી કિંમતની રિકવરી ફ્રેઝ કે keys હતી, તો ઇરેઝ કરવું એ સુરક્ષિત પસંદગી છે. ઍપ્સનો નહીં, તમારા દસ્તાવેજોનો બૅકઅપ લો, અને શરૂઆતથી ફરી સાઇન ઇન કરો.