Terminal मध्ये कमांड पेस्ट केली? तुमचा Mac आत्ताच तपासा.

1पेस्ट केलेली ओळ काय करते

2025 च्या शेवटापासून, AI टूल्सची बनावट पेजेस आणि "तुमचा Mac स्वच्छ करा" अशा सर्च जाहिराती Mac वापरकर्त्यांना Terminal उघडून एक ओळ पेस्ट करायला सांगत आहेत. Sophos ला नोव्हेंबर 2025 ते फेब्रुवारी 2026 दरम्यान अशा तीन मोहिमा सापडल्या ज्यांनी याच पद्धतीने MacSync stealer इन्स्टॉल केला: ती ओळ एक स्क्रिप्ट डाउनलोड करते, तुमच्या Mac चा पासवर्ड मागते, आणि मग keychain मधील डेटा, सेव्ह केलेले लॉगिन आणि क्रिप्टो वॉलेटचे recovery phrase घेऊन जाते (The Hacker News, 16 मार्च 2026). Microsoft नेही Atomic (AMOS), MacSync आणि DigitStealer stealers साठी हेच आमिष नोंदवले आहे, ज्यांपर्यंत लोक बहुतेकदा सर्च जाहिरातींमधून पोहोचतात (Microsoft च्या अहवालावर Security Affairs, 4 फेब्रुवारी 2026).

कोणतीही सूचना का आली नाही: इंटरनेटवरून डाउनलोड केलेले सॉफ्टवेअर पहिल्यांदा उघडण्यापूर्वी macOS तुम्हाला विचारतो (Apple Platform Security), आणि फाइल इंटरनेटवरून आली आहे हे त्याला ब्राउझर लावत असलेल्या quarantine फ्लॅगवरून कळते. Terminal मध्ये curl ने आणलेल्या फाइल्सना हा फ्लॅग कदाचित लागत नाही (MITRE ATT&CK T1553.001), आणि थेट bash मध्ये पाइप केलेली स्क्रिप्ट कधीच ॲप म्हणून उघडली जात नाही, त्यामुळे तो प्रश्न कधीच दिसत नाही.

अशा ओळी सहसा यांपैकी एखादीसारख्या दिसतात, मध्ये एक वेब पत्ता असतो:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2तपासणी 1: login items आणि बॅकग्राउंड ॲप्स

System Settings → General → Login Items & Extensions उघडा (macOS 14 आणि आधीच्या आवृत्त्यांवर: Login Items). Open at Login आणि Allow in the Background पाहा.

तुम्ही ओळखत नाही असे काहीही नीट पाहण्यासारखे आहे, विशेषतः विचित्र नाव असलेली, डेव्हलपरचे नाव न दाखवणारी, किंवा तुम्ही कमांड पेस्ट केली त्याच दिवशी आलेली आयटम. बॅकग्राउंड आयटम बंद केल्याने ती पुन्हा सुरू होत नाही; पण ती डिलीट होत नाही.

3तपासणी 2: launch agents आणि daemons

आपोआप सुरू होणारे प्रोग्राम तीनपैकी एका फोल्डरमध्ये एक छोटी फाइल ठेवतात. ही कमांड त्या दाखवते, नवीन आधी:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

बहुतेक नावे com.company.app.plist सारखी दिसतात. तुम्ही कमांड पेस्ट केली त्या दिवसाच्या आसपासच्या तारखेच्या फाइल्स, तुमच्या स्वतःच्या Library फोल्डरमधील Apple ची नक्कल करणारी नावे (com.apple…), किंवा अनियमित अक्षरांनी बनलेली नावे शोधा. एखादी फाइल कोणता प्रोग्राम सुरू करते ते पाहण्यासाठी NAME च्या जागी तिचे नाव लिहा:

plutil -p ~/Library/LaunchAgents/NAME.plist

4तपासणी 3: तुमच्या shell च्या स्टार्टअप फाइल्स

Terminal उघडल्यावर प्रत्येक वेळी तुमचा shell या फाइल्स चालवतो, त्यामुळे stealer इथे एखादी ओळ लपवू शकतो. ही कमांड प्रत्येक फाइल शेवटची कधी बदलली ते दाखवते:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

एखादी फाइल अशा दिवशी बदलली असेल जेव्हा ती एडिट केल्याचे तुम्हाला आठवत नाही, तर तिच्या शेवटच्या ओळी पाहा:

tail -n 20 ~/.zshrc

तुम्ही न लिहिलेल्या आणि curl, base64, osascript किंवा वेब पत्ता असलेल्या ओळी म्हणजे गडबडीचे लक्षण.

5तपासणी 4: तुम्ही काय पेस्ट केले

Terminal तुम्ही चालवलेल्या ओळी लक्षात ठेवतो. ही कमांड काहीतरी डाउनलोड किंवा डिकोड करणाऱ्या शेवटच्या 30 ओळी दाखवते:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6तपासणी 5: macOS स्वीकारत नाही अशी ॲप्स

macOS चा Gatekeeper सांगू शकतो की तुमच्या Applications फोल्डरमधील कोणती ॲप्स तो स्वीकारणार नाही (ओळखीच्या डेव्हलपरने साइन न केलेली, किंवा Apple ने न तपासलेली):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

काही जुनी किंवा ओपन-सोर्स ॲप्स इथे दिसतात आणि ती ठीक असतात. खरे लक्षण म्हणजे असे ॲप जे इन्स्टॉल केल्याचे तुम्हाला आठवत नाही. तुमच्या Downloads फोल्डरसाठीही हेच डोळ्यांनी करा, नवीन आधी:

ls -lt ~/Downloads | head -n 20

7तपासणी 6: रिमोट ॲक्सेस आणि प्रोफाइल

System Settings → General → Sharing उघडा. Screen Sharing, Remote Login, Remote Management आणि File Sharing बंद असायला हवेत, जोपर्यंत तुम्ही स्वतः ते वापरत नाही.

मग System Settings → General → Device Management उघडा (जुन्या macOS वर: Privacy & Security → Profiles). तुम्ही इन्स्टॉल न केलेले प्रोफाइल तुमचे ब्राउझिंग दुसऱ्याच्या सर्व्हरमधून पाठवू शकते किंवा त्यांच्या सर्टिफिकेटवर विश्वास ठेवायला लावू शकते. ते तुमच्या शाळेचे किंवा कंपनीचे नाही याची खात्री असेल तरच काढा.

8तपासणी 7: इंटरनेटशी कोण बोलत आहे

ही कमांड प्रत्येक प्रोग्रामचे उघडे इंटरनेट कनेक्शन मोजते:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

तुमचा ब्राउझर, Mail, Messages आणि iCloud सामान्य आहेत. एखादे अनोळखी नाव, किंवा osascript, python3 किंवा curl सारखा स्क्रिप्ट चालवणारा प्रोग्राम ज्याचे कनेक्शन उघडे आहेत, ते तपासण्यासारखे आहे. इतर कॉम्प्युटर्सकडून कनेक्शनची वाट पाहणारे प्रोग्राम पाहण्यासाठी:

lsof -nP -iTCP -sTCP:LISTEN

9काही सापडले तर

1. डिस्कनेक्ट करा: Wi-Fi बंद करा आणि नेटवर्क केबल असेल तर काढा.
2. दुसऱ्या डिव्हाइसवरून, आधी तुमच्या Apple Account, ईमेल आणि बँकेचे पासवर्ड बदला, इतर सर्व सेशनमधून साइन आउट करा, आणि two-factor authentication सुरू करा.
3. ज्या क्रिप्टो वॉलेटचे recovery phrase किंवा keys या Mac वर होते, ते गमावले आहे असे समजा. स्वच्छ डिव्हाइसवर नवीन वॉलेट बनवा आणि फंड त्यात हलवा. stealer कडे phrase आधीच असू शकतो, आणि ट्रान्सफर परत करता येत नाही. पाहा क्रिप्टो वॉलेट सुरक्षा.
4. जे सापडले ते काढून टाका: Activity Monitor मध्ये ते बंद करा, launch agent फाइल आणि ॲप डिलीट करा, आणि रीस्टार्ट करा. सगळे सापडले याची खात्री नसेल, तर तुमच्या डॉक्युमेंट्सचा बॅकअप घ्या (ॲप्सचा नाही) आणि Mac पुसून टाका: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. malware ब्लॉक करून Trash मध्ये हलवल्याची सूचना दिसली? ते XProtect आहे, Mac चे बिल्ट-इन संरक्षण, ज्याने ओळखीची फाइल काढून टाकली. हे चांगले आहे, पण फाइल कुठून आली ते पाहा: त्याच साइटने आणखी काही पाठवले असू शकते. पाहा Mac चे बिल्ट-इन संरक्षण काय करते.

10पुन्हा Terminal मध्ये काहीही पेस्ट करण्यापूर्वी

• साइटचा पत्ता स्वतः टाइप करा; जाहिरात किंवा चॅटमधील लिंकवरून जाऊ नका.
• पेस्ट करण्यापूर्वी ओळ वाचा. | sh, | bash, base64 आणि osascript म्हणजे ती काहीतरी चालवते.
• एखादी वेबसाइट, captcha किंवा "बिघडलेला" डाउनलोड दुरुस्त करण्यासाठी खरे तर कधीच Terminal लागत नाही.
• एखादी ओळ तुमचा पासवर्ड मागत असेल, तर थांबा आणि स्वतःला विचारा की तो कशासाठी हवा आहे.

11प्रश्न

माझा Mac हॅक झाला. आधी काय करू?

तो इंटरनेटपासून डिस्कनेक्ट करा, मग दुसऱ्या डिव्हाइसवरून तुमच्या Apple Account, ईमेल आणि बँकेचे पासवर्ड बदला आणि इतर सर्व सेशनमधून साइन आउट करा. ज्या क्रिप्टोचा recovery phrase त्या Mac वर होता, ते स्वच्छ डिव्हाइसवर बनवलेल्या नवीन वॉलेटमध्ये हलवा. मग या पेजवरील तपासण्या करा किंवा Mac पुसून टाका.

माझा Mac आत्ता हॅक झाला आहे का हे कसे ओळखू?

तुम्ही ओळखत नाही असे login items किंवा launch agents, तुम्ही न बदललेल्या shell फाइल्स, macOS स्वीकारत नाही अशी ॲप्स, आणि इंटरनेट कनेक्शन असलेले अनोळखी प्रोग्राम शोधा. तुम्ही काहीही न करता पासवर्ड मागितला जाणे आणि ब्राउझरची सेटिंग्ज आपोआप बदलणे हीसुद्धा लक्षणे आहेत.

macOS ने सांगितले की malware ब्लॉक करून Trash मध्ये हलवले. मी सुरक्षित आहे का?

याचा अर्थ XProtect ने एक ओळखीची हानिकारक फाइल ओळखली आणि ती चालण्यापूर्वीच काढून टाकली. फाइल कुठून आली ते पाहा आणि वरच्या तपासण्या करा: त्याच साइटने किंवा ईमेलने XProtect ला न ओळखता आलेले काहीतरी पाठवले असू शकते.

Terminal मध्ये कमांड पेस्ट करणे सुरक्षित आहे का?

फक्त तेव्हाच, जेव्हा साइटचा पत्ता तुम्ही स्वतः टाइप केला आहे आणि ओळ काय करते हे तुम्हाला माहीत आहे. जाहिरात, पॉप-अप, "verify you are human" पेज किंवा चॅटमधील ओळ कधीही पेस्ट करू नका. ती एखादा डाउनलोड sh किंवा bash मध्ये पाइप करत असेल, base64 डिकोड करत असेल किंवा तुमचा पासवर्ड मागत असेल, तर थांबा.

मला माझा Mac पुसून टाकावा लागेल का?

जे सापडले ते ओळखून काढता येत नसेल, किंवा Mac वर मोठ्या रकमेचे recovery phrase किंवा keys होते, तर पुसून टाकणेच सुरक्षित आहे. तुमच्या डॉक्युमेंट्सचा बॅकअप घ्या, ॲप्सचा नाही, आणि पुन्हा सुरुवातीपासून साइन इन करा.