Wkleiłeś polecenie w Terminalu? Sprawdź swojego Maca teraz.

1Co robi wklejona linijka

Od końca 2025 roku fałszywe strony narzędzi AI i reklamy w wyszukiwarce typu „wyczyść swojego Maca” każą użytkownikom Maców otworzyć Terminal i wkleić jedną linijkę. Sophos namierzył trzy kampanie z okresu od listopada 2025 do lutego 2026, które w ten sposób instalowały stealer MacSync: linijka pobiera skrypt, prosi o hasło do Maca, a potem zabiera dane z pęku kluczy, zapisane loginy i frazy odzyskiwania portfeli kryptowalut (The Hacker News, 16 marca 2026). Microsoft opisuje te same przynęty dla stealerów Atomic (AMOS), MacSync i DigitStealer, do których ludzie często trafiają przez reklamy w wyszukiwarce (Security Affairs o raporcie Microsoftu, 4 lutego 2026).

Dlaczego nic nie ostrzegło: macOS pyta o zgodę przed pierwszym otwarciem oprogramowania pobranego z internetu (Apple Platform Security), a to, że plik pochodzi z internetu, rozpoznaje po fladze kwarantanny, którą ustawia przeglądarka. Pliki pobrane przez curl w Terminalu mogą tej flagi nie dostać (MITRE ATT&CK T1553.001), a skrypt przekazany prosto do bash w ogóle nie jest otwierany jak aplikacja, więc okno nigdy się nie pojawia.

Takie linijki zwykle wyglądają jak jedna z tych, z adresem strony w środku:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Krok 1: rzeczy otwierane podczas logowania i aplikacje w tle

Otwórz Ustawienia systemowe → Ogólne → Rzeczy otwierane podczas logowania i rozszerzenia (w macOS 14 i starszych: Rzeczy otwierane podczas logowania). Sprawdź sekcje Otwieraj podczas logowania i Zezwalaj w tle.

Warto przyjrzeć się wszystkiemu, czego nie rozpoznajesz, zwłaszcza pozycji o dziwnej nazwie, bez podanego dewelopera albo takiej, która pojawiła się w dniu, w którym wkleiłeś polecenie. Wyłączenie pozycji w tle sprawia, że nie uruchomi się ponownie, ale jej nie usuwa.

3Krok 2: agenty i demony uruchamiania

Programy, które uruchamiają się same, zostawiają mały plik w jednym z trzech folderów. To polecenie je wypisze, od najnowszych:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Większość nazw wygląda jak com.company.app.plist. Szukaj plików z datą z okolic dnia, w którym wkleiłeś polecenie, nazw podszywających się pod Apple (com.apple…) w Twoim własnym folderze Library albo nazw z przypadkowych liter. Aby zobaczyć, jaki program uruchamia plik, zamień NAME na jego nazwę:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Krok 3: pliki startowe powłoki

Powłoka wykonuje te pliki przy każdym otwarciu Terminala, więc stealer może tam ukryć linijkę. To polecenie pokaże, kiedy każdy z nich był ostatnio zmieniany:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Jeśli któryś zmienił się w dniu, w którym go nie edytowałeś, obejrzyj jego ostatnie linijki:

tail -n 20 ~/.zshrc

Linijki, których nie pisałeś, a które wspominają curl, base64, osascript albo adres strony, to znalezisko.

5Krok 4: co wklejałeś

Terminal zapamiętuje uruchomione linijki. To polecenie pokaże ostatnie 30, które coś pobierały albo dekodowały:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Krok 5: aplikacje, których macOS by nie przyjął

Gatekeeper w macOS potrafi pokazać, których aplikacji w folderze Aplikacje by nie przyjął (niepodpisanych przez zidentyfikowanego dewelopera albo niesprawdzonych przez Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Niektóre stare aplikacje i aplikacje open source pojawiają się tu i są w porządku. Znaleziskiem jest aplikacja, której instalowania nie pamiętasz. Tak samo przejrzyj na oko folder Pobrane, od najnowszych:

ls -lt ~/Downloads | head -n 20

7Krok 6: dostęp zdalny i profile

Otwórz Ustawienia systemowe → Ogólne → Udostępnianie. Udostępnianie ekranu, Logowanie zdalne, Zarządzanie zdalne i Udostępnianie plików powinny być wyłączone, chyba że sam z nich korzystasz.

Następnie otwórz Ustawienia systemowe → Ogólne → Zarządzanie urządzeniami (w starszych macOS: Prywatność i ochrona → Profile). Profil, którego nie instalowałeś, może kierować Twój ruch przez cudzy serwer albo ufać cudzym certyfikatom. Usuń go tylko wtedy, gdy masz pewność, że nie pochodzi od Twojej szkoły lub pracodawcy.

8Krok 7: kto łączy się z internetem

To polecenie liczy otwarte połączenia z internetem dla każdego programu:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Przeglądarka, Mail, Wiadomości i iCloud są normalne. Nieznana nazwa albo program do uruchamiania skryptów, taki jak osascript, python3 czy curl, z otwartymi połączeniami to powód, by się przyjrzeć. Aby zobaczyć programy czekające na połączenia z innych komputerów:

lsof -nP -iTCP -sTCP:LISTEN

9Jeśli coś znajdziesz

1. Odłącz się od Wi-Fi i wyjmij kabel sieciowy, jeśli jest podłączony.
2. Z innego urządzenia zmień hasła: najpierw do Konta Apple, poczty i banku. Wyloguj wszystkie inne sesje i włącz uwierzytelnianie dwuskładnikowe.
3. Uznaj za utracony każdy portfel kryptowalut, którego fraza odzyskiwania lub klucze były na tym Macu. Utwórz nowy portfel na czystym urządzeniu i przenieś tam środki. Stealer może już mieć frazę, a przelewu nie da się cofnąć. Zobacz bezpieczeństwo portfeli kryptowalut.
4. Usuń to, co znalazłeś: zakończ to w Monitorze aktywności, usuń plik agenta uruchamiania i aplikację, a potem uruchom Maca ponownie. Jeśli nie masz pewności, że znalazłeś wszystko, zrób kopię dokumentów (nie aplikacji) i wymaż Maca: Ustawienia systemowe → Ogólne → Przenieś lub wyzeruj → Wymaż zawartość i ustawienia.
5. Widzisz komunikat, że złośliwe oprogramowanie zostało zablokowane i przeniesione do Kosza? To XProtect, wbudowana ochrona Maca, usunął rozpoznany plik. Dobrze, ale sprawdź, skąd ten plik przyszedł: ta sama strona mogła przysłać coś jeszcze. Zobacz co robi wbudowana ochrona Maca.

10Zanim znowu coś wkleisz do Terminala

• Wpisuj adres strony sam; nie wchodź przez reklamę ani link z czatu.
• Przeczytaj linijkę, zanim ją wkleisz. | sh, | bash, base64 i osascript oznaczają, że coś uruchamia.
• Żadna prawdziwa naprawa strony, captchy czy „zepsutego” pobierania nie wymaga Terminala.
• Jeśli linijka prosi o hasło, zatrzymaj się i zastanów, do czego jest jej potrzebne.

11Pytania

Mój Mac został zhakowany. Co zrobić najpierw?

Odłącz go od internetu, potem z innego urządzenia zmień hasła do Konta Apple, poczty i banku i wyloguj wszystkie inne sesje. Kryptowaluty, których fraza odzyskiwania była na Macu, przenieś do nowego portfela utworzonego na czystym urządzeniu. Potem wykonaj kroki z tej strony albo wymaż Maca.

Jak sprawdzić, czy mój Mac jest teraz zhakowany?

Szukaj nieznanych rzeczy otwieranych podczas logowania lub agentów uruchamiania, plików powłoki, których nie zmieniałeś, aplikacji, których macOS by nie przyjął, i nieznanych programów z połączeniami z internetem. Prośby o hasło, których nie wywołałeś, i ustawienia przeglądarki, które zmieniły się same, to też sygnały.

macOS napisał, że złośliwe oprogramowanie zostało zablokowane i przeniesione do Kosza. Czy jestem bezpieczny?

Oznacza to, że XProtect rozpoznał znany złośliwy plik i usunął go, zanim się uruchomił. Sprawdź, skąd przyszedł plik, i wykonaj kroki powyżej: ta sama strona lub wiadomość e-mail mogła dostarczyć coś, czego XProtect nie rozpoznał.

Czy wklejanie poleceń do Terminala jest bezpieczne?

Tylko jeśli sam wpisałeś adres strony i wiesz, co robi linijka. Nigdy nie wklejaj linijki z reklamy, wyskakującego okienka, strony „potwierdź, że jesteś człowiekiem” ani czatu. Jeśli przekazuje pobrany plik do sh lub bash, dekoduje base64 albo prosi o hasło, zatrzymaj się.

Czy muszę wymazać Maca?

Jeśli nie umiesz rozpoznać i usunąć tego, co znalazłeś, albo na Macu były frazy odzyskiwania lub klucze warte dużo, wymazanie to bezpieczny wybór. Zrób kopię dokumentów, nie aplikacji, i zaloguj się wszędzie od nowa.