Вставили команду в Терминал? Проверьте свой Mac прямо сейчас.

1Что делает вставленная строка

С конца 2025 года поддельные страницы ИИ-инструментов и поисковая реклама «очистите свой Mac» просят пользователей Mac открыть Терминал и вставить одну строку. Sophos отследила три кампании с ноября 2025 по февраль 2026 года, которые так устанавливали стилер MacSync: строка скачивает скрипт, просит пароль от Mac, а затем забирает данные связки ключей, сохраненные логины и фразы восстановления криптокошельков (The Hacker News, 16 марта 2026). Microsoft сообщает о тех же приманках для стилеров Atomic (AMOS), MacSync и DigitStealer, к которым люди часто попадают через поисковую рекламу (Security Affairs об отчете Microsoft, 4 февраля 2026).

Почему ничто не предупредило: macOS спрашивает разрешения перед первым открытием программы, скачанной из интернета (Apple Platform Security), а узнает, что файл пришел из интернета, по флагу карантина, который ставит браузер. Файлы, скачанные через curl в Терминале, могут не получить этот флаг (MITRE ATT&CK T1553.001), а скрипт, переданный прямо в bash, вообще не открывается как приложение, поэтому окно так и не появляется.

Обычно такие строки выглядят как одна из этих, с веб-адресом посередине:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Проверка 1: объекты входа и фоновые приложения

Откройте Системные настройки → Основные → Объекты входа и расширения (в macOS 14 и раньше: Объекты входа). Посмотрите разделы Открывать при входе и Разрешить в фоновом режиме.

Стоит присмотреться ко всему, чего вы не узнаете, особенно к объекту со странным названием, без указанного разработчика или появившемуся в тот день, когда вы вставили команду. Если выключить фоновый объект, он перестанет запускаться снова, но не удалится.

3Проверка 2: агенты и демоны запуска

Программы, которые запускаются сами, оставляют небольшой файл в одной из трех папок. Эта команда покажет их, новые сверху:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Большинство имен выглядят как com.company.app.plist. Ищите файлы с датой около того дня, когда вы вставили команду, имена под Apple (com.apple…) в вашей собственной папке Library или имена из случайных букв. Чтобы увидеть, какую программу запускает файл, замените NAME на его имя:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Проверка 3: файлы запуска оболочки

Оболочка выполняет эти файлы при каждом открытии Терминала, поэтому стилер может спрятать там строку. Эта команда покажет, когда каждый из них менялся в последний раз:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Если какой-то изменился в день, когда вы его не редактировали, посмотрите его последние строки:

tail -n 20 ~/.zshrc

Строки, которые вы не писали и в которых есть curl, base64, osascript или веб-адрес, — это находка.

5Проверка 4: что вы вставляли

Терминал хранит строки, которые вы запускали. Эта команда покажет последние 30, которые что-то скачивали или декодировали:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Проверка 5: приложения, которые macOS не приняла бы

Gatekeeper в macOS может показать, какие приложения в папке «Программы» он не принял бы (не подписаны установленным разработчиком или не проверены Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Некоторые старые приложения и приложения с открытым кодом попадают сюда, и с ними все в порядке. Находка — это приложение, которое вы не помните, как устанавливали. Так же на глаз проверьте папку «Загрузки», новые сверху:

ls -lt ~/Downloads | head -n 20

7Проверка 6: удаленный доступ и профили

Откройте Системные настройки → Основные → Общий доступ. Общий экран, Удаленный вход, Удаленное управление и Общий доступ к файлам должны быть выключены, если вы сами ими не пользуетесь.

Затем откройте Системные настройки → Основные → Управление устройствами (в старых версиях macOS: Конфиденциальность и безопасность → Профили). Профиль, который вы не устанавливали, может пускать ваш трафик через чужой сервер или доверять чужим сертификатам. Удаляйте его, только если уверены, что он не от вашей школы или работодателя.

8Проверка 7: кто выходит в интернет

Эта команда считает открытые интернет-соединения по программам:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Браузер, Почта, Сообщения и iCloud — это нормально. Незнакомое имя или программа для запуска скриптов вроде osascript, python3 или curl с открытыми соединениями — повод присмотреться. Чтобы увидеть программы, которые ждут подключений с других компьютеров:

lsof -nP -iTCP -sTCP:LISTEN

9Если вы что-то нашли

1. Отключитесь от Wi-Fi и выньте сетевой кабель, если он подключен.
2. С другого устройства смените пароли: сначала от Аккаунта Apple, почты и банка. Завершите все остальные сеансы и включите двухфакторную аутентификацию.
3. Считайте потерянным каждый криптокошелек, фраза восстановления или ключи которого были на этом Mac. Создайте новый кошелек на чистом устройстве и переведите туда средства. У стилера уже может быть фраза, а перевод нельзя отменить. См. безопасность криптокошельков.
4. Удалите найденное: завершите его в Мониторинге системы, удалите файл агента запуска и само приложение, перезагрузите Mac. Если не уверены, что нашли все, сделайте резервную копию документов (не приложений) и сотрите Mac: Системные настройки → Основные → Перенос или сброс → Стереть контент и настройки.
5. Видели сообщение, что вредоносная программа заблокирована и перемещена в Корзину? Это XProtect, встроенная защита Mac, удалил файл, который распознал. Хорошо, но проверьте, откуда пришел файл: тот же сайт мог прислать что-то еще. См. что делает встроенная защита Mac.

10Прежде чем снова вставлять что-то в Терминал

• Вводите адрес сайта сами; не переходите по рекламе или ссылке из чата.
• Читайте строку, прежде чем вставлять. | sh, | bash, base64 и osascript значат, что она что-то запускает.
• Ни одно настоящее исправление сайта, капчи или «сломанной» загрузки не требует Терминала.
• Если строка просит пароль, остановитесь и спросите себя, зачем он ей.

11Вопросы

Мой Mac взломали. Что делать в первую очередь?

Отключите его от интернета, затем с другого устройства смените пароли от Аккаунта Apple, почты и банка и завершите все остальные сеансы. Криптовалюту, фраза восстановления которой была на Mac, переведите на новый кошелек, созданный на чистом устройстве. Потом выполните проверки с этой страницы или сотрите Mac.

Как понять, взломан ли мой Mac прямо сейчас?

Ищите незнакомые объекты входа или агенты запуска, файлы оболочки, которые вы не меняли, приложения, которые macOS не приняла бы, и неизвестные программы с интернет-соединениями. Запросы пароля, которые вы не вызывали, и настройки браузера, изменившиеся сами собой, — тоже признаки.

macOS сообщила, что вредоносная программа заблокирована и перемещена в Корзину. Мне ничего не грозит?

Это значит, что XProtect распознал известный вредоносный файл и удалил его до запуска. Проверьте, откуда пришел файл, и выполните проверки выше: тот же сайт или письмо могли доставить то, что XProtect не распознал.

Безопасно ли вставлять команду в Терминал?

Только если вы сами ввели адрес сайта и знаете, что делает строка. Никогда не вставляйте строку из рекламы, всплывающего окна, страницы «подтвердите, что вы человек» или чата. Если она передает загрузку в sh или bash, декодирует base64 или просит пароль, остановитесь.

Нужно ли стирать Mac?

Если вы не можете опознать и удалить найденное или на Mac хранились фразы восстановления или ключи на крупную сумму, надежнее стереть его. Сделайте резервную копию документов, а не приложений, и войдите во все заново.