Umebandika amri kwenye Terminal? Kagua Mac yako sasa.

1Mstari uliobandika unafanya nini

Tangu mwishoni mwa 2025, kurasa bandia za zana za AI na matangazo ya utafutaji ya "safisha Mac yako" yamekuwa yakiwaomba watumiaji wa Mac wafungue Terminal na wabandike mstari mmoja. Sophos ilifuatilia kampeni tatu kati ya Novemba 2025 na Februari 2026 zilizosakinisha programu ya wizi wa data MacSync kwa njia hii: mstari unapakua skripti, unaomba nenosiri la Mac yako, kisha unachukua data ya keychain, taarifa za kuingia zilizohifadhiwa na maneno ya urejeshaji ya pochi za crypto (The Hacker News, 16 Machi 2026). Microsoft inaripoti mitego hiyo hiyo kwa programu za wizi wa data Atomic (AMOS), MacSync na DigitStealer, ambazo mara nyingi hufikiwa kupitia matangazo ya utafutaji (Security Affairs kuhusu ripoti ya Microsoft, 4 Februari 2026).

Kwa nini hakuna kilichokuonya: macOS huuliza kabla hujafungua kwa mara ya kwanza programu iliyopakuliwa kutoka intaneti (Apple Platform Security), na hutambua kwamba faili imetoka intaneti kwa alama ya karantini ambayo vivinjari huweka. Faili zinazopakuliwa kwa curl kwenye Terminal huenda zisipate alama hiyo (MITRE ATT&CK T1553.001), na skripti inayopelekwa moja kwa moja kwenye bash haifunguliwi kamwe kama programu, kwa hiyo ujumbe huo hautokei kamwe.

Mistari hii kwa kawaida hufanana na mmojawapo wa hii, ikiwa na anwani ya wavuti katikati:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Ukaguzi 1: login items na programu za chinichini

Fungua System Settings → General → Login Items & Extensions (kwenye macOS 14 na za awali: Login Items). Angalia Open at Login na Allow in the Background.

Chochote usichokitambua kinastahili kuangaliwa kwa makini, hasa kipengele chenye jina geni, kisichoonyesha msanidi programu, au kilichotokea siku uliyobandika amri. Kuzima kipengele cha chinichini kunakizuia kuanza tena; hakukifuti.

3Ukaguzi 2: launch agents na daemons

Programu zinazojianzisha zenyewe huacha faili ndogo katika mojawapo ya folda tatu. Amri hii inazionyesha, mpya kwanza:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Majina mengi hufanana na com.company.app.plist. Tafuta faili zenye tarehe karibu na siku uliyobandika amri, majina yanayoiga Apple (com.apple…) ndani ya folda yako ya Library, au majina ya herufi za nasibu. Ili kuona faili inaanzisha programu gani, badilisha NAME kwa jina lake:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Ukaguzi 3: faili za kuanzisha shell yako

Shell yako huendesha faili hizi kila Terminal inapofunguka, kwa hiyo programu ya wizi wa data inaweza kuficha mstari humo. Amri hii inaonyesha kila moja ilibadilishwa lini mara ya mwisho:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Ikiwa moja ilibadilika siku ambayo hukumbuki kuihariri, angalia mistari yake ya mwisho:

tail -n 20 ~/.zshrc

Mistari ambayo hukuiandika inayotaja curl, base64, osascript au anwani ya wavuti ni ugunduzi wa kuzingatia.

5Ukaguzi 4: ulichobandika

Terminal huhifadhi mistari uliyoendesha. Amri hii inaonyesha 30 ya mwisho iliyopakua au kufumbua kitu:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Ukaguzi 5: programu ambazo macOS isingezikubali

Gatekeeper ya macOS inaweza kukuambia ni programu zipi kwenye folda yako ya Applications ambazo isingezikubali (hazijasainiwa na msanidi aliyetambulishwa, au hazijakaguliwa na Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Baadhi ya programu za zamani au za chanzo huria huonekana hapa na ni salama. Programu ambayo hukumbuki kuisakinisha ndiyo ugunduzi. Fanya vivyo hivyo kwa macho kwenye folda yako ya Downloads, mpya kwanza:

ls -lt ~/Downloads | head -n 20

7Ukaguzi 6: ufikiaji wa mbali na profaili

Fungua System Settings → General → Sharing. Screen Sharing, Remote Login, Remote Management na File Sharing zinapaswa kuzimwa isipokuwa unazitumia mwenyewe.

Kisha fungua System Settings → General → Device Management (kwenye macOS za zamani: Privacy & Security → Profiles). Profaili ambayo hukuisakinisha inaweza kupitisha kuvinjari kwako kwenye seva ya mtu mwingine au kuamini vyeti vyake. Iondoe tu ikiwa una uhakika haitoki shuleni kwako au kwa mwajiri wako.

8Ukaguzi 7: nani anawasiliana na intaneti

Amri hii inahesabu miunganisho ya intaneti iliyo wazi kwa kila programu:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Kivinjari chako, Mail, Messages na iCloud ni vya kawaida. Jina usilolijua, au kiendeshaji cha skripti kama osascript, python3 au curl kikiwa na miunganisho, kinastahili kuangaliwa. Ili kuona programu zinazosubiri miunganisho kutoka kompyuta nyingine:

lsof -nP -iTCP -sTCP:LISTEN

9Ukipata kitu

1. Tenganisha Wi-Fi na chomoa kebo yoyote ya mtandao.
2. Kutoka kifaa kingine, badilisha kwanza manenosiri ya Apple Account yako, barua pepe yako na benki yako, toka kwenye vipindi vingine vyote, na washa uthibitishaji wa hatua mbili.
3. Chukulia kila pochi ya crypto ambayo maneno yake ya urejeshaji au funguo zake zilikuwa kwenye Mac hii kuwa imepotea. Unda pochi mpya kwenye kifaa safi na uhamishe fedha. Programu ya wizi wa data huenda tayari ina maneno hayo, na uhamisho hauwezi kurudishwa. Tazama usalama wa pochi za crypto.
4. Ondoa ulichopata: kifunge kwenye Activity Monitor, futa faili ya launch agent na programu, kisha washa upya. Ikiwa huna uhakika kuwa umepata kila kitu, hifadhi nakala ya nyaraka zako (si programu zako) na ufute Mac: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. Uliona tahadhari kwamba programu hasidi ilizuiwa na kuhamishiwa kwenye Trash? Hiyo ni XProtect, ulinzi uliojengwa ndani ya Mac, ikiondoa faili iliyoitambua. Ni vizuri, lakini kagua faili ilitoka wapi: tovuti hiyo hiyo huenda ilituma zaidi. Tazama ulinzi uliojengwa ndani ya Mac hufanya nini.

10Kabla ya kubandika chochote kwenye Terminal tena

• Andika anwani ya tovuti mwenyewe; usifuate tangazo au kiungo kwenye gumzo.
• Soma mstari kabla ya kuubandika. | sh, | bash, base64 na osascript humaanisha unaendesha kitu.
• Hakuna suluhisho halisi la tovuti, captcha au upakuaji "ulioharibika" linalohitaji Terminal.
• Mstari ukiomba nenosiri lako, simama na ujiulize ni kwa ajili ya nini.

11Maswali

Mac yangu imedukuliwa. Nifanye nini kwanza?

Itenganishe na intaneti, kisha tumia kifaa kingine kubadilisha manenosiri ya Apple Account, barua pepe na benki yako na utoke kwenye vipindi vingine vyote. Hamisha crypto yoyote ambayo maneno yake ya urejeshaji yalikuwa kwenye Mac kwenda pochi mpya iliyoundwa kwenye kifaa safi. Kisha fanya ukaguzi ulio kwenye ukurasa huu au ufute Mac.

Nitajuaje kama Mac yangu imedukuliwa sasa hivi?

Tafuta login items au launch agents usiyoyatambua, faili za shell ambazo hukuzibadilisha, programu ambazo macOS isingezikubali, na programu usizozijua zenye miunganisho ya intaneti. Maombi ya nenosiri ambayo hukuyasababisha na mipangilio ya kivinjari iliyobadilika yenyewe pia ni dalili.

macOS ilisema programu hasidi ilizuiwa na kuhamishiwa kwenye Trash. Je, niko salama?

Inamaanisha XProtect ilitambua faili hasidi inayojulikana na kuiondoa kabla haijaendeshwa. Kagua faili ilitoka wapi na ufanye ukaguzi ulio hapo juu: tovuti au barua pepe hiyo hiyo huenda ilileta kitu ambacho XProtect haikukitambua.

Je, ni salama kubandika amri kwenye Terminal?

Ni salama tu ikiwa uliandika anwani ya tovuti mwenyewe na unajua mstari unafanya nini. Usibandike kamwe mstari kutoka kwenye tangazo, dirisha linalojitokeza, ukurasa wa "thibitisha kwamba wewe ni binadamu" au gumzo. Ukipeleka kitu kilichopakuliwa kwenye sh au bash, ukifumbua base64 au ukiomba nenosiri lako, simama.

Je, ninahitaji kufuta Mac yangu?

Ikiwa huwezi kutambua na kuondoa ulichopata, au Mac ilikuwa na maneno ya urejeshaji au funguo zenye thamani kubwa, kufuta ndilo chaguo salama. Hifadhi nakala ya nyaraka zako, si programu zako, na uingie tena upya kila mahali.