Menempelkan perintah di Terminal? Periksa Mac Anda sekarang.

1Apa yang dilakukan baris yang ditempelkan

Sejak akhir 2025, halaman palsu alat AI dan iklan pencarian "bersihkan Mac Anda" meminta pengguna Mac membuka Terminal dan menempelkan satu baris. Sophos melacak tiga kampanye antara November 2025 dan Februari 2026 yang memasang pencuri data MacSync dengan cara ini: baris itu mengunduh skrip, meminta kata sandi Mac Anda, lalu mengambil data keychain, login tersimpan, dan frasa pemulihan dompet kripto (The Hacker News, 16 Maret 2026). Microsoft melaporkan umpan yang sama untuk pencuri data Atomic (AMOS), MacSync, dan DigitStealer, yang sering dijangkau lewat iklan pencarian (Security Affairs tentang laporan Microsoft, 4 Februari 2026).

Mengapa tidak ada peringatan: macOS bertanya sebelum Anda pertama kali membuka perangkat lunak yang diunduh dari internet (Apple Platform Security), dan macOS tahu sebuah file berasal dari internet lewat penanda karantina yang dipasang browser. File yang diambil dengan curl di Terminal mungkin tidak mendapat penanda itu (MITRE ATT&CK T1553.001), dan skrip yang dialirkan langsung ke bash tidak pernah dibuka sebagai app sama sekali, jadi peringatannya tidak pernah muncul.

Baris-baris itu biasanya terlihat seperti salah satu dari ini, dengan alamat web di tengahnya:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Pemeriksaan 1: item login dan app latar belakang

Buka Pengaturan Sistem → Umum → Item Login & Ekstensi (di macOS 14 dan sebelumnya: Item Login). Lihat bagian Buka saat Login dan Izinkan di Latar Belakang.

Apa pun yang tidak Anda kenali layak diperiksa lebih dekat, terutama item dengan nama aneh, tanpa nama pengembang, atau yang muncul pada hari Anda menempelkan perintah itu. Mematikan item latar belakang mencegahnya berjalan lagi; itu tidak menghapusnya.

3Pemeriksaan 2: launch agent dan daemon

Program yang berjalan sendiri meninggalkan file kecil di salah satu dari tiga folder. Perintah ini menampilkannya, yang terbaru lebih dulu:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Sebagian besar nama terlihat seperti com.company.app.plist. Cari file bertanggal sekitar hari Anda menempelkan perintah itu, nama yang meniru Apple (com.apple…) di dalam folder Library milik Anda sendiri, atau nama dari huruf acak. Untuk melihat program mana yang dijalankan sebuah file, ganti NAME dengan namanya:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Pemeriksaan 3: file startup shell Anda

Shell Anda menjalankan file-file ini setiap kali Terminal dibuka, jadi pencuri data bisa menyembunyikan satu baris di sana. Perintah ini menampilkan kapan masing-masing terakhir diubah:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Jika salah satunya berubah pada hari yang tidak Anda ingat pernah mengeditnya, lihat baris-baris terakhirnya:

tail -n 20 ~/.zshrc

Baris yang tidak Anda tulis dan menyebut curl, base64, osascript, atau alamat web adalah sebuah temuan.

5Pemeriksaan 4: apa yang Anda tempelkan

Terminal menyimpan baris yang pernah Anda jalankan. Perintah ini menampilkan 30 baris terakhir yang mengunduh atau mendekode sesuatu:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Pemeriksaan 5: app yang tidak diterima macOS

Gatekeeper di macOS bisa memberi tahu app mana di folder Aplikasi yang tidak akan diterimanya (tidak ditandatangani oleh pengembang yang teridentifikasi, atau tidak diperiksa oleh Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Beberapa app lama atau open source muncul di sini dan tidak apa-apa. App yang tidak Anda ingat pernah dipasang, itulah temuannya. Lakukan hal yang sama secara langsung untuk folder Unduhan, yang terbaru lebih dulu:

ls -lt ~/Downloads | head -n 20

7Pemeriksaan 6: akses jarak jauh dan profil

Buka Pengaturan Sistem → Umum → Berbagi. Berbagi Layar, Login Jarak Jauh, Manajemen Jarak Jauh, dan Berbagi File sebaiknya mati kecuali Anda sendiri memakainya.

Lalu buka Pengaturan Sistem → Umum → Manajemen Perangkat (di macOS lama: Privasi & Keamanan → Profil). Profil yang tidak Anda pasang bisa mengalirkan aktivitas browsing Anda lewat server orang lain atau membuat Mac memercayai sertifikat mereka. Hapus profil hanya jika Anda yakin profil itu bukan dari sekolah atau kantor Anda.

8Pemeriksaan 7: siapa yang berkomunikasi dengan internet

Perintah ini menghitung koneksi internet yang terbuka per program:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Browser, Mail, Pesan, dan iCloud itu normal. Nama yang tidak Anda kenal, atau penjalan skrip seperti osascript, python3, atau curl yang memegang koneksi, layak diperiksa. Untuk melihat program yang menunggu koneksi dari komputer lain:

lsof -nP -iTCP -sTCP:LISTEN

9Jika Anda menemukan sesuatu

1. Putuskan koneksi dari Wi-Fi dan cabut kabel jaringan.
2. Dari perangkat lain, ganti dulu kata sandi Akun Apple, email, dan bank Anda, keluar dari semua sesi lain, dan aktifkan autentikasi dua faktor.
3. Anggap hilang setiap dompet kripto yang frasa pemulihan atau kuncinya pernah ada di Mac ini. Buat dompet baru di perangkat yang bersih dan pindahkan dananya. Pencuri data mungkin sudah memegang frasanya, dan transfer tidak bisa dibatalkan. Lihat keamanan dompet kripto.
4. Hapus yang Anda temukan: hentikan di Monitor Aktivitas, hapus file launch agent dan app-nya, lalu mulai ulang. Jika Anda tidak yakin sudah menemukan semuanya, cadangkan dokumen Anda (bukan app-nya) dan hapus Mac: Pengaturan Sistem → Umum → Transfer atau Atur Ulang → Hapus Semua Konten dan Pengaturan.
5. Melihat peringatan bahwa malware diblokir dan dipindahkan ke Tong Sampah? Itu XProtect, perlindungan bawaan Mac, yang menghapus file yang dikenalinya. Bagus, tetapi periksa dari mana file itu berasal: situs yang sama mungkin mengirim lebih banyak. Lihat apa yang dilakukan perlindungan bawaan Mac.

10Sebelum menempelkan apa pun ke Terminal lagi

• Ketik sendiri alamat situsnya; jangan ikuti iklan atau tautan di obrolan.
• Baca barisnya sebelum menempelkannya. | sh, | bash, base64, dan osascript berarti baris itu menjalankan sesuatu.
• Perbaikan sungguhan untuk situs web, captcha, atau unduhan yang "rusak" tidak pernah membutuhkan Terminal.
• Jika sebuah baris meminta kata sandi Anda, berhenti dan tanyakan pada diri sendiri untuk apa.

11Pertanyaan

Mac saya diretas. Apa yang harus saya lakukan pertama kali?

Putuskan Mac dari internet, lalu pakai perangkat lain untuk mengganti kata sandi Akun Apple, email, dan bank, dan keluar dari semua sesi lain. Pindahkan kripto apa pun yang frasa pemulihannya ada di Mac ke dompet baru yang dibuat di perangkat yang bersih. Lalu jalankan pemeriksaan di halaman ini atau hapus Mac.

Bagaimana cara tahu apakah Mac saya sedang diretas?

Cari item login atau launch agent yang tidak Anda kenali, file shell yang tidak Anda ubah, app yang tidak diterima macOS, dan program tak dikenal yang punya koneksi internet. Permintaan kata sandi yang tidak Anda picu dan pengaturan browser yang berubah sendiri juga merupakan tanda.

macOS bilang malware diblokir dan dipindahkan ke Tong Sampah. Apakah saya aman?

Artinya XProtect mengenali file berbahaya yang sudah dikenal dan menghapusnya sebelum file itu berjalan. Periksa dari mana file itu berasal dan jalankan pemeriksaan di atas: situs atau email yang sama mungkin mengirim sesuatu yang tidak dikenali XProtect.

Apakah aman menempelkan perintah ke Terminal?

Hanya jika Anda mengetik sendiri alamat situsnya dan tahu apa yang dilakukan baris itu. Jangan pernah menempelkan baris dari iklan, pop-up, halaman "verifikasi bahwa Anda manusia", atau obrolan. Jika baris itu mengalirkan unduhan ke sh atau bash, mendekode base64, atau meminta kata sandi Anda, berhenti.

Apakah saya perlu menghapus Mac saya?

Jika Anda tidak bisa mengenali dan menghapus yang Anda temukan, atau Mac itu menyimpan frasa pemulihan atau kunci yang bernilai besar, menghapus Mac adalah pilihan yang aman. Cadangkan dokumen Anda, bukan app-nya, dan masuk lagi dari awal.