Tampal arahan dalam Terminal? Semak Mac anda sekarang.

1Apa yang dilakukan baris yang ditampal

Sejak akhir 2025, laman palsu untuk alat AI dan iklan carian "bersihkan Mac anda" meminta pengguna Mac membuka Terminal dan menampal satu baris. Sophos menjejak tiga kempen antara November 2025 dan Februari 2026 yang memasang perisian pencuri MacSync dengan cara ini: baris itu memuat turun skrip, meminta kata laluan Mac anda, kemudian mengambil data keychain, log masuk yang disimpan dan frasa pemulihan dompet kripto (The Hacker News, 16 Mac 2026). Microsoft melaporkan umpan yang sama untuk perisian pencuri Atomic (AMOS), MacSync dan DigitStealer, yang sering ditemui melalui iklan carian (Security Affairs tentang laporan Microsoft, 4 Februari 2026).

Kenapa tiada amaran: macOS bertanya sebelum anda mula-mula membuka perisian yang dimuat turun dari internet (Apple Platform Security), dan macOS tahu sesuatu fail datang dari internet melalui tanda kuarantin yang diletakkan oleh pelayar. Fail yang diambil dengan curl dalam Terminal mungkin tidak mendapat tanda itu (MITRE ATT&CK T1553.001), dan skrip yang disalurkan terus ke bash tidak pernah dibuka sebagai app langsung, jadi gesaan itu tidak pernah muncul.

Baris itu biasanya kelihatan seperti salah satu daripada ini, dengan alamat web di tengahnya:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Semakan 1: item log masuk dan app latar belakang

Buka System Settings → General → Login Items & Extensions (pada macOS 14 dan lebih awal: Login Items). Lihat Open at Login dan Allow in the Background.

Apa-apa yang anda tidak kenali patut diteliti, terutamanya item dengan nama pelik, tanpa nama pemaju, atau yang muncul pada hari anda menampal arahan itu. Mematikan item latar belakang menghalangnya daripada bermula semula; ia tidak memadamnya.

3Semakan 2: launch agent dan daemon

Program yang bermula sendiri meninggalkan fail kecil dalam salah satu daripada tiga folder. Arahan ini menyenaraikannya, yang terbaharu dahulu:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Kebanyakan nama kelihatan seperti com.company.app.plist. Cari fail bertarikh sekitar hari anda menampal arahan itu, nama yang meniru Apple (com.apple…) di dalam folder Library anda sendiri, atau nama yang terdiri daripada huruf rawak. Untuk melihat program yang dimulakan oleh sesuatu fail, gantikan NAME dengan namanya:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Semakan 3: fail permulaan shell anda

Shell anda menjalankan fail-fail ini setiap kali Terminal dibuka, jadi perisian pencuri boleh menyorokkan satu baris di situ. Arahan ini menunjukkan bila setiap fail kali terakhir diubah:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Jika salah satunya berubah pada hari yang anda tidak ingat pernah menyuntingnya, lihat baris-baris terakhirnya:

tail -n 20 ~/.zshrc

Baris yang anda tidak tulis dan menyebut curl, base64, osascript atau alamat web ialah satu penemuan.

5Semakan 4: apa yang anda tampal

Terminal menyimpan baris yang pernah anda jalankan. Arahan ini menunjukkan 30 baris terakhir yang memuat turun atau menyahkod sesuatu:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Semakan 5: app yang macOS tidak terima

Gatekeeper dalam macOS boleh memberitahu app dalam folder Applications yang tidak akan diterimanya (tidak ditandatangani oleh pemaju yang dikenal pasti, atau tidak disemak oleh Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Sesetengah app lama atau sumber terbuka muncul di sini dan tidak mengapa. App yang anda tidak ingat pernah dipasang, itulah penemuannya. Lakukan perkara yang sama dengan mata untuk folder Downloads, yang terbaharu dahulu:

ls -lt ~/Downloads | head -n 20

7Semakan 6: akses jauh dan profil

Buka System Settings → General → Sharing. Screen Sharing, Remote Login, Remote Management dan File Sharing patut dimatikan melainkan anda sendiri menggunakannya.

Kemudian buka System Settings → General → Device Management (pada macOS lama: Privacy & Security → Profiles). Profil yang anda tidak pasang boleh menghantar aktiviti pelayaran anda melalui pelayan orang lain atau membuat Mac mempercayai sijil mereka. Buang profil hanya jika anda pasti ia bukan daripada sekolah atau majikan anda.

8Semakan 7: siapa yang berhubung dengan internet

Arahan ini mengira sambungan internet yang terbuka bagi setiap program:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Pelayar, Mail, Messages dan iCloud adalah biasa. Nama yang anda tidak kenal, atau pelari skrip seperti osascript, python3 atau curl yang memegang sambungan, patut diteliti. Untuk melihat program yang menunggu sambungan dari komputer lain:

lsof -nP -iTCP -sTCP:LISTEN

9Jika anda menemui sesuatu

1. Putuskan sambungan daripada Wi-Fi dan cabut sebarang kabel rangkaian.
2. Dari peranti lain, tukar dahulu kata laluan Apple Account, e-mel dan bank anda, log keluar semua sesi lain, dan hidupkan pengesahan dua faktor.
3. Anggap hilang setiap dompet kripto yang frasa pemulihan atau kuncinya pernah ada pada Mac ini. Buat dompet baharu pada peranti yang bersih dan pindahkan dananya. Perisian pencuri mungkin sudah memiliki frasa itu, dan pindahan tidak boleh dibatalkan. Lihat keselamatan dompet kripto.
4. Buang apa yang anda temui: hentikannya dalam Activity Monitor, padam fail launch agent dan app itu, kemudian mulakan semula. Jika anda tidak pasti sudah menemui semuanya, sandarkan dokumen anda (bukan app) dan padam Mac: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. Nampak amaran bahawa perisian hasad telah disekat dan dialihkan ke Trash? Itu XProtect, perlindungan terbina dalam Mac, yang membuang fail yang dikenalinya. Bagus, tetapi semak dari mana fail itu datang: laman yang sama mungkin telah menghantar lebih banyak. Lihat apa yang dilakukan perlindungan terbina dalam Mac.

10Sebelum anda menampal apa-apa ke dalam Terminal lagi

• Taip sendiri alamat laman itu; jangan ikut iklan atau pautan dalam sembang.
• Baca baris itu sebelum menampalnya. | sh, | bash, base64 dan osascript bermakna ia menjalankan sesuatu.
• Tiada pembaikan sebenar untuk laman web, captcha atau muat turun yang "rosak" yang memerlukan Terminal.
• Jika sesuatu baris meminta kata laluan anda, berhenti dan tanya diri sendiri untuk apa.

11Soalan

Mac saya digodam. Apa yang perlu saya buat dahulu?

Putuskan sambungannya daripada internet, kemudian gunakan peranti lain untuk menukar kata laluan Apple Account, e-mel dan bank anda serta log keluar semua sesi lain. Pindahkan sebarang kripto yang frasa pemulihannya ada pada Mac itu ke dompet baharu yang dibuat pada peranti yang bersih. Kemudian buat semakan dalam halaman ini atau padam Mac.

Bagaimana saya tahu jika Mac saya sedang digodam?

Cari item log masuk atau launch agent yang anda tidak kenali, fail shell yang anda tidak ubah, app yang macOS tidak terima, dan program tidak dikenali yang mempunyai sambungan internet. Gesaan kata laluan yang anda tidak cetuskan dan tetapan pelayar yang berubah sendiri juga tanda-tandanya.

macOS kata perisian hasad disekat dan dialihkan ke Trash. Adakah saya selamat?

Ini bermakna XProtect mengenali fail berniat jahat yang diketahui dan membuangnya sebelum ia berjalan. Semak dari mana fail itu datang dan buat semakan di atas: laman atau e-mel yang sama mungkin telah menghantar sesuatu yang XProtect tidak kenali.

Adakah selamat menampal arahan ke dalam Terminal?

Hanya apabila anda menaip sendiri alamat laman itu dan anda tahu apa yang dilakukan baris itu. Jangan sekali-kali menampal baris dari iklan, pop-up, laman "sahkan anda manusia" atau sembang. Jika ia menyalurkan muat turun ke sh atau bash, menyahkod base64 atau meminta kata laluan anda, berhenti.

Perlukah saya memadam Mac saya?

Jika anda tidak dapat mengenal pasti dan membuang apa yang anda temui, atau Mac itu menyimpan frasa pemulihan atau kunci yang bernilai tinggi, memadamnya ialah pilihan yang selamat. Sandarkan dokumen anda, bukan app, dan log masuk semula dari awal.