Terminal में कमांड पेस्ट की? अपना Mac अभी जाँचें।

1पेस्ट की गई लाइन क्या करती है

2025 के आख़िर से, AI टूल के नकली पेज और "अपना Mac साफ़ करें" वाले सर्च विज्ञापन Mac यूज़र्स से Terminal खोलकर एक लाइन पेस्ट करवा रहे हैं। Sophos ने नवंबर 2025 से फ़रवरी 2026 के बीच ऐसे तीन अभियान ढूँढे जिन्होंने इसी तरह MacSync stealer इंस्टॉल किया: लाइन एक स्क्रिप्ट डाउनलोड करती है, आपके Mac का पासवर्ड माँगती है, फिर keychain का डेटा, सेव किए गए लॉगिन और क्रिप्टो वॉलेट के recovery phrase ले जाती है (The Hacker News, 16 मार्च 2026)। Microsoft भी Atomic (AMOS), MacSync और DigitStealer stealers के लिए यही चारा बताता है, जिन तक लोग अक्सर सर्च विज्ञापनों से पहुँचते हैं (Microsoft की रिपोर्ट पर Security Affairs, 4 फ़रवरी 2026)।

कोई चेतावनी क्यों नहीं आई: इंटरनेट से डाउनलोड किया गया सॉफ़्टवेयर पहली बार खोलने से पहले macOS आपसे पूछता है (Apple Platform Security), और उसे पता चलता है कि फ़ाइल इंटरनेट से आई है एक quarantine फ़्लैग से, जो ब्राउज़र लगाते हैं। Terminal में curl से लाई गई फ़ाइलों पर यह फ़्लैग शायद न लगे (MITRE ATT&CK T1553.001), और सीधे bash में पाइप की गई स्क्रिप्ट कभी ऐप की तरह खुलती ही नहीं, इसलिए वह संकेत कभी दिखता ही नहीं।

ऐसी लाइनें आम तौर पर इनमें से किसी एक जैसी दिखती हैं, बीच में एक वेब पता होता है:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2जाँच 1: login items और बैकग्राउंड ऐप

System Settings → General → Login Items & Extensions खोलें (macOS 14 और उससे पहले: Login Items)। Open at Login और Allow in the Background देखें।

जो भी आप न पहचानें, उसे ध्यान से देखें, ख़ासकर अजीब नाम वाला आइटम, जिसके साथ कोई डेवलपर न दिखे, या जो उसी दिन आया जिस दिन आपने कमांड पेस्ट की थी। बैकग्राउंड आइटम बंद करने से वह दोबारा शुरू नहीं होता; पर इससे वह डिलीट नहीं होता।

3जाँच 2: launch agents और daemons

जो प्रोग्राम अपने आप शुरू होते हैं, वे तीन फ़ोल्डरों में से किसी एक में एक छोटी फ़ाइल छोड़ते हैं। यह कमांड उन्हें दिखाती है, सबसे नई पहले:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

ज़्यादातर नाम com.company.app.plist जैसे दिखते हैं। ऐसी फ़ाइलें देखें जिनकी तारीख़ उस दिन के आसपास की हो जब आपने कमांड पेस्ट की थी, आपके अपने Library फ़ोल्डर में Apple की नकल करने वाले नाम (com.apple…), या बेतरतीब अक्षरों से बने नाम। कोई फ़ाइल कौन-सा प्रोग्राम शुरू करती है, यह देखने के लिए NAME की जगह उसका नाम लिखें:

plutil -p ~/Library/LaunchAgents/NAME.plist

4जाँच 3: आपकी shell की स्टार्टअप फ़ाइलें

हर बार Terminal खुलने पर आपकी shell इन फ़ाइलों को चलाती है, इसलिए कोई stealer यहाँ एक लाइन छिपा सकता है। यह कमांड दिखाती है कि हर फ़ाइल आख़िरी बार कब बदली:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

अगर कोई फ़ाइल ऐसे दिन बदली जिस दिन उसे एडिट करना आपको याद नहीं, तो उसकी आख़िरी लाइनें देखें:

tail -n 20 ~/.zshrc

जो लाइनें आपने नहीं लिखीं और जिनमें curl, base64, osascript या कोई वेब पता हो, उन्हें गड़बड़ी का संकेत मानें।

5जाँच 4: आपने क्या पेस्ट किया

Terminal आपकी चलाई गई लाइनें याद रखता है। यह कमांड आख़िरी 30 ऐसी लाइनें दिखाती है जिन्होंने कुछ डाउनलोड या डिकोड किया:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6जाँच 5: वे ऐप जिन्हें macOS स्वीकार नहीं करता

macOS का Gatekeeper बता सकता है कि आपके Applications फ़ोल्डर के किन ऐप्स को वह स्वीकार नहीं करेगा (किसी पहचाने गए डेवलपर ने साइन नहीं किया, या Apple ने जाँचा नहीं):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

कुछ पुराने या ओपन-सोर्स ऐप यहाँ दिखते हैं और ठीक होते हैं। असली संकेत वह ऐप है जिसे इंस्टॉल करना आपको याद नहीं। अपने Downloads फ़ोल्डर को भी इसी तरह आँख से देखें, सबसे नई पहले:

ls -lt ~/Downloads | head -n 20

7जाँच 6: रिमोट एक्सेस और प्रोफ़ाइल

System Settings → General → Sharing खोलें। Screen Sharing, Remote Login, Remote Management और File Sharing बंद होने चाहिए, जब तक आप खुद उनका इस्तेमाल न करते हों।

फिर System Settings → General → Device Management खोलें (पुराने macOS पर: Privacy & Security → Profiles)। जो प्रोफ़ाइल आपने इंस्टॉल नहीं की, वह आपकी ब्राउज़िंग किसी और के सर्वर से भेज सकती है या उसके सर्टिफ़िकेट पर भरोसा करवा सकती है। उसे तभी हटाएँ जब आपको पक्का पता हो कि वह आपके स्कूल या कंपनी की नहीं है।

8जाँच 7: कौन इंटरनेट से बात कर रहा है

यह कमांड हर प्रोग्राम के खुले इंटरनेट कनेक्शन गिनती है:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

आपका ब्राउज़र, Mail, Messages और iCloud सामान्य हैं। कोई अनजाना नाम, या osascript, python3 या curl जैसा स्क्रिप्ट चलाने वाला प्रोग्राम जिसके कनेक्शन खुले हों, ध्यान देने लायक है। दूसरे कंप्यूटरों से कनेक्शन का इंतज़ार कर रहे प्रोग्राम देखने के लिए:

lsof -nP -iTCP -sTCP:LISTEN

9अगर कुछ मिले

1. इंटरनेट से डिस्कनेक्ट करें: Wi-Fi बंद करें और कोई भी नेटवर्क केबल निकाल दें।
2. किसी दूसरे डिवाइस से, सबसे पहले अपने Apple Account, ईमेल और बैंक के पासवर्ड बदलें, बाकी सभी सेशन से साइन आउट करें, और two-factor authentication चालू करें।
3. जिस भी क्रिप्टो वॉलेट का recovery phrase या keys इस Mac पर थीं, उसे खोया हुआ मानें। किसी साफ़ डिवाइस पर नया वॉलेट बनाएँ और फ़ंड उसमें भेजें। हो सकता है stealer के पास phrase पहले से हो, और ट्रांसफ़र वापस नहीं हो सकता। देखें क्रिप्टो वॉलेट सुरक्षा।
4. जो मिला उसे हटाएँ: Activity Monitor में उसे बंद करें, launch agent फ़ाइल और ऐप डिलीट करें, और रीस्टार्ट करें। अगर पक्का न हो कि सब कुछ मिल गया, तो अपने दस्तावेज़ों का बैकअप लें (ऐप्स का नहीं) और Mac मिटा दें: System Settings → General → Transfer or Reset → Erase All Content and Settings।
5. अलर्ट दिखा कि malware ब्लॉक करके Trash में डाल दिया गया? यह XProtect है, Mac की बिल्ट-इन सुरक्षा, जिसने एक पहचानी हुई फ़ाइल हटा दी। यह अच्छा है, पर देखें कि फ़ाइल कहाँ से आई: उसी साइट ने और भी कुछ भेजा हो सकता है। देखें Mac की बिल्ट-इन सुरक्षा क्या करती है।

10अगली बार Terminal में कुछ भी पेस्ट करने से पहले

• साइट का पता खुद टाइप करें; किसी विज्ञापन या चैट के लिंक से न जाएँ।
• पेस्ट करने से पहले लाइन पढ़ें। | sh, | bash, base64 और osascript का मतलब है कि वह कुछ चलाती है।
• किसी वेबसाइट, captcha या "ख़राब" डाउनलोड को ठीक करने के लिए असल में कभी Terminal की ज़रूरत नहीं होती।
• अगर कोई लाइन आपका पासवर्ड माँगे, तो रुकें और खुद से पूछें कि यह किसलिए है।

11सवाल

मेरा Mac हैक हो गया। सबसे पहले क्या करूँ?

उसे इंटरनेट से डिस्कनेक्ट करें, फिर किसी दूसरे डिवाइस से अपने Apple Account, ईमेल और बैंक के पासवर्ड बदलें और बाकी सभी सेशन से साइन आउट करें। जिस क्रिप्टो का recovery phrase उस Mac पर था, उसे किसी साफ़ डिवाइस पर बने नए वॉलेट में भेजें। फिर इस पेज की जाँचें करें या Mac मिटा दें।

कैसे पता करूँ कि मेरा Mac अभी हैक है या नहीं?

ऐसे login items या launch agents देखें जिन्हें आप नहीं पहचानते, shell फ़ाइलें जिन्हें आपने नहीं बदला, वे ऐप जिन्हें macOS स्वीकार नहीं करता, और इंटरनेट कनेक्शन वाले अनजाने प्रोग्राम। बिना आपके कुछ किए पासवर्ड माँगा जाना और ब्राउज़र की सेटिंग्स का अपने आप बदल जाना भी संकेत हैं।

macOS ने कहा कि malware ब्लॉक करके Trash में डाल दिया गया। क्या मैं सुरक्षित हूँ?

इसका मतलब है कि XProtect ने एक जानी-पहचानी malicious फ़ाइल पहचानी और उसके चलने से पहले उसे हटा दिया। देखें कि फ़ाइल कहाँ से आई और ऊपर की जाँचें करें: उसी साइट या ईमेल ने कुछ ऐसा भी भेजा हो सकता है जिसे XProtect नहीं पहचान पाया।

क्या Terminal में कमांड पेस्ट करना सुरक्षित है?

सिर्फ़ तब, जब साइट का पता आपने खुद टाइप किया हो और आपको पता हो कि लाइन क्या करती है। किसी विज्ञापन, पॉप-अप, "verify you are human" पेज या चैट से आई लाइन कभी पेस्ट न करें। अगर वह किसी डाउनलोड को sh या bash में पाइप करती है, base64 डिकोड करती है या आपका पासवर्ड माँगती है, तो रुक जाएँ।

क्या मुझे अपना Mac मिटाना होगा?

अगर आप जो मिला उसे पहचान कर हटा नहीं पाते, या Mac पर बड़ी रकम वाले recovery phrase या keys थीं, तो मिटाना ही सुरक्षित रास्ता है। अपने दस्तावेज़ों का बैकअप लें, ऐप्स का नहीं, और शुरू से फिर साइन इन करें।