Commando in Terminal geplakt? Controleer nu je Mac.

1Wat de geplakte regel doet

Sinds eind 2025 vragen nep-pagina’s voor AI-tools en zoekadvertenties als ‘ruim je Mac op’ Mac-gebruikers om Terminal te openen en één regel te plakken. Sophos volgde tussen november 2025 en februari 2026 drie campagnes die zo de stealer MacSync installeerden: de regel downloadt een script, vraagt om het wachtwoord van je Mac en neemt dan sleutelhangergegevens, opgeslagen inloggegevens en herstelzinnen van cryptowallets mee (The Hacker News, 16 maart 2026). Microsoft meldt dezelfde lokkertjes voor de stealers Atomic (AMOS), MacSync en DigitStealer, vaak bereikt via zoekadvertenties (Security Affairs over het rapport van Microsoft, 4 februari 2026).

Waarom niets je waarschuwde: macOS vraagt het eerst voordat je software van internet voor het eerst opent (Apple-platformbeveiliging), en weet dat een bestand van internet komt door een quarantainemarkering die browsers zetten. Bestanden die je in Terminal met curl ophaalt, krijgen die markering mogelijk niet (MITRE ATT&CK T1553.001), en een script dat rechtstreeks naar bash wordt doorgegeven, wordt nooit als app geopend, dus de melding verschijnt nooit.

De regels zien er meestal zo uit, met een webadres in het midden:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Controle 1: inlogonderdelen en apps op de achtergrond

Open Systeeminstellingen → Algemeen → Inlogonderdelen en extensies (in macOS 14 en eerder: Inlogonderdelen). Kijk bij Open bij inloggen en Sta toe op achtergrond.

Alles wat je niet herkent, verdient een nadere blik, vooral een onderdeel met een vreemde naam, zonder vermelde ontwikkelaar of een dat verscheen op de dag dat je het commando plakte. Een achtergrondonderdeel uitzetten voorkomt dat het opnieuw start; het verwijdert het niet.

3Controle 2: launch agents en daemons

Programma’s die vanzelf starten, laten een klein bestand achter in een van drie mappen. Dit toont ze, nieuwste eerst:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

De meeste namen zien eruit als com.company.app.plist. Let op bestanden met een datum rond de dag dat je het commando plakte, namen die Apple nadoen (com.apple…) in je eigen map Bibliotheek, of namen van willekeurige letters. Om te zien welk programma een bestand start, vervang je NAME door de naam:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Controle 3: de opstartbestanden van je shell

Je shell voert deze bestanden uit telkens als Terminal opent, dus een stealer kan er een regel in verstoppen. Dit toont wanneer elk bestand voor het laatst is gewijzigd:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Is er een gewijzigd op een dag waarop je je niet herinnert het te hebben bewerkt, bekijk dan de laatste regels:

tail -n 20 ~/.zshrc

Regels die je niet zelf hebt geschreven en die curl, base64, osascript of een webadres noemen, zijn een vondst.

5Controle 4: wat je hebt geplakt

Terminal onthoudt de regels die je hebt uitgevoerd. Dit toont de laatste 30 die iets hebben gedownload of gedecodeerd:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Controle 5: apps die macOS niet zou accepteren

Gatekeeper in macOS kan je vertellen welke apps in je map Apps hij niet zou accepteren (niet ondertekend door een geïdentificeerde ontwikkelaar, of niet door Apple gecontroleerd):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Sommige oude of opensource-apps verschijnen hier en zijn in orde. Een app waarvan je je niet herinnert dat je hem hebt geïnstalleerd, is de vondst. Doe hetzelfde op het oog voor je map Downloads, nieuwste eerst:

ls -lt ~/Downloads | head -n 20

7Controle 6: toegang op afstand en profielen

Open Systeeminstellingen → Algemeen → Delen. Schermdeling, Inloggen op afstand, Beheer op afstand en Bestandsdeling horen uit te staan, tenzij je ze zelf gebruikt.

Open daarna Systeeminstellingen → Algemeen → Apparaatbeheer (in oudere macOS: Privacy en beveiliging → Profielen). Een profiel dat je niet zelf hebt geïnstalleerd, kan je surfverkeer via de server van iemand anders laten lopen of je Mac diens certificaten laten vertrouwen. Verwijder er alleen een als je zeker weet dat het niet van je school of werkgever komt.

8Controle 7: wie er met internet praat

Dit telt de open internetverbindingen per programma:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Je browser, Mail, Berichten en iCloud zijn normaal. Een naam die je niet kent, of een scriptprogramma zoals osascript, python3 of curl met open verbindingen, verdient een blik. Om programma’s te zien die wachten op verbindingen van andere computers:

lsof -nP -iTCP -sTCP:LISTEN

9Als je iets vindt

1. Verbreek de verbinding met wifi en trek elke netwerkkabel los.
2. Wijzig vanaf een ander apparaat eerst de wachtwoorden van je Apple Account, je e-mail en je bank, log alle andere sessies uit en zet twee-factor-authenticatie aan.
3. Beschouw elke cryptowallet waarvan de herstelzin of sleutels op deze Mac stonden als verloren. Maak een nieuwe wallet op een schoon apparaat en zet het geld over. Een stealer heeft de zin misschien al, en een overboeking kan niet worden teruggedraaid. Zie veiligheid van cryptowallets.
4. Verwijder wat je hebt gevonden: stop het in Activiteitenweergave, verwijder het launch-agentbestand en de app, en start opnieuw op. Weet je niet zeker of je alles hebt gevonden, maak dan een reservekopie van je documenten (niet je apps) en wis de Mac: Systeeminstellingen → Algemeen → Zet over of stel opnieuw in → Wis alle inhoud en instellingen.
5. Een melding gezien dat malware is geblokkeerd en naar de prullenmand is verplaatst? Dat is XProtect, de ingebouwde bescherming van de Mac, die een bestand verwijdert dat hij herkende. Goed, maar controleer waar het bestand vandaan kwam: dezelfde site kan meer hebben gestuurd. Zie wat de ingebouwde bescherming van de Mac doet.

10Voordat je weer iets in Terminal plakt

• Typ het adres van de site zelf; volg geen advertentie of link in een chat.
• Lees de regel voordat je hem plakt. | sh, | bash, base64 en osascript betekenen dat hij iets uitvoert.
• Geen echte oplossing voor een website, een captcha of een ‘kapotte’ download heeft Terminal nodig.
• Vraagt een regel om je wachtwoord, stop dan en vraag je af waarvoor.

11Vragen

Mijn Mac is gehackt. Wat doe ik eerst?

Verbreek de internetverbinding en wijzig dan vanaf een ander apparaat de wachtwoorden van je Apple Account, e-mail en bank en log alle andere sessies uit. Zet crypto waarvan de herstelzin op de Mac stond over naar een nieuwe wallet die op een schoon apparaat is gemaakt. Doe daarna de controles op deze pagina of wis de Mac.

Hoe zie ik of mijn Mac nu gehackt is?

Zoek naar inlogonderdelen of launch agents die je niet herkent, shellbestanden die je niet hebt gewijzigd, apps die macOS niet zou accepteren en onbekende programma’s met internetverbindingen. Wachtwoordvragen die je niet zelf hebt veroorzaakt en browserinstellingen die vanzelf zijn veranderd, zijn ook tekenen.

macOS zegt dat malware is geblokkeerd en naar de prullenmand is verplaatst. Ben ik veilig?

Het betekent dat XProtect een bekend kwaadaardig bestand herkende en verwijderde voordat het draaide. Controleer waar het bestand vandaan kwam en doe de controles hierboven: dezelfde site of e-mail kan iets hebben afgeleverd dat XProtect niet herkende.

Is het veilig om een commando in Terminal te plakken?

Alleen als je het adres van de site zelf hebt getypt en weet wat de regel doet. Plak nooit een regel uit een advertentie, een pop-up, een pagina ‘bevestig dat je een mens bent’ of een chat. Stuurt hij een download door naar sh of bash, decodeert hij base64 of vraagt hij om je wachtwoord, stop dan.

Moet ik mijn Mac wissen?

Als je niet kunt vaststellen en verwijderen wat je hebt gevonden, of als er op de Mac herstelzinnen of sleutels van veel waarde stonden, is wissen de veilige keuze. Maak een reservekopie van je documenten, niet je apps, en log daarna overal vanaf nul opnieuw in.