Terminal-இல் கட்டளையை ஒட்டினீர்களா? உங்கள் Mac-ஐ இப்போதே சோதியுங்கள்.

1ஒட்டிய வரி என்ன செய்கிறது

2025 இறுதியிலிருந்து, AI கருவிகளுக்கான போலிப் பக்கங்களும் "உங்கள் Mac-ஐச் சுத்தம் செய்யுங்கள்" போன்ற தேடல் விளம்பரங்களும் Mac பயனர்களை Terminal-ஐத் திறந்து ஒரு வரியை ஒட்டச் சொல்கின்றன. நவம்பர் 2025 முதல் பிப்ரவரி 2026 வரை இந்த வழியில் MacSync திருட்டு மென்பொருளை நிறுவிய மூன்று பிரச்சாரங்களை Sophos கண்டறிந்தது: அந்த வரி ஒரு script-ஐப் பதிவிறக்குகிறது, உங்கள் Mac-இன் கடவுச்சொல்லைக் கேட்கிறது, பிறகு keychain தரவு, சேமித்த உள்நுழைவுகள், கிரிப்டோ வாலெட் மீட்புச் சொற்றொடர்களை எடுத்துச் செல்கிறது (The Hacker News, 16 மார்ச் 2026). Atomic (AMOS), MacSync, DigitStealer திருட்டு மென்பொருள்களுக்கும் இதே தூண்டில்கள் பயன்படுவதாக Microsoft தெரிவிக்கிறது, பெரும்பாலும் தேடல் விளம்பரங்கள் வழியாக (Microsoft அறிக்கை பற்றி Security Affairs, 4 பிப்ரவரி 2026).

ஏன் எதுவும் எச்சரிக்கவில்லை: இணையத்திலிருந்து பதிவிறக்கிய மென்பொருளை முதல் முறை திறக்கும் முன் macOS கேட்கிறது (Apple Platform Security); ஒரு கோப்பு இணையத்திலிருந்து வந்தது என்பதை உலாவிகள் இடும் quarantine குறியை வைத்து அது அறிகிறது. Terminal-இல் curl மூலம் எடுக்கப்பட்ட கோப்புகளுக்கு அந்தக் குறி கிடைக்காமல் போகலாம் (MITRE ATT&CK T1553.001), நேரடியாக bash-க்குள் pipe செய்யப்படும் script ஒரு ஆப்பாகத் திறக்கப்படுவதே இல்லை, அதனால் அந்தக் கேள்வி தோன்றுவதே இல்லை.

இத்தகைய வரிகள் பொதுவாக இவற்றில் ஒன்று போலத் தெரியும், நடுவில் ஒரு இணைய முகவரி இருக்கும்:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2சோதனை 1: login items மற்றும் பின்னணி ஆப்கள்

System Settings → General → Login Items & Extensions-ஐத் திறங்கள் (macOS 14 மற்றும் அதற்கு முந்தையவற்றில்: Login Items). Open at Login, Allow in the Background ஆகிய பகுதிகளைப் பாருங்கள்.

உங்களுக்கு அடையாளம் தெரியாத எதையும் கூர்ந்து பார்ப்பது நல்லது, குறிப்பாக விசித்திரமான பெயர் கொண்ட, டெவலப்பர் பெயர் காட்டாத, அல்லது நீங்கள் கட்டளையை ஒட்டிய அன்றே தோன்றிய உருப்படியை. பின்னணி உருப்படியை அணைத்தால் அது மீண்டும் தொடங்காது; ஆனால் அது நீக்கப்படுவதில்லை.

3சோதனை 2: launch agents மற்றும் daemons

தானாகத் தொடங்கும் நிரல்கள் மூன்று கோப்புறைகளில் ஒன்றில் ஒரு சிறிய கோப்பை விட்டுச் செல்கின்றன. இது அவற்றைப் பட்டியலிடுகிறது, புதியது முதலில்:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

பெரும்பாலான பெயர்கள் com.company.app.plist போல இருக்கும். நீங்கள் கட்டளையை ஒட்டிய நாளை ஒட்டிய தேதியுள்ள கோப்புகள், உங்கள் சொந்த Library கோப்புறையில் Apple போலப் பாவனை செய்யும் பெயர்கள் (com.apple…), அல்லது சீரற்ற எழுத்துகளால் ஆன பெயர்களைத் தேடுங்கள். ஒரு கோப்பு எந்த நிரலைத் தொடங்குகிறது என்று பார்க்க, NAME-க்குப் பதிலாக அதன் பெயரை இடுங்கள்:

plutil -p ~/Library/LaunchAgents/NAME.plist

4சோதனை 3: உங்கள் shell தொடக்கக் கோப்புகள்

Terminal திறக்கும் ஒவ்வொரு முறையும் உங்கள் shell இந்தக் கோப்புகளை இயக்குகிறது, அதனால் ஒரு திருட்டு மென்பொருள் அங்கே ஒரு வரியை ஒளித்து வைக்கலாம். ஒவ்வொன்றும் கடைசியாக எப்போது மாற்றப்பட்டது என்பதை இது காட்டுகிறது:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

நீங்கள் திருத்தியதாக நினைவில்லாத ஒரு நாளில் ஏதாவது மாறியிருந்தால், அதன் கடைசி வரிகளைப் பாருங்கள்:

tail -n 20 ~/.zshrc

நீங்கள் எழுதாத, curl, base64, osascript அல்லது இணைய முகவரியைக் குறிப்பிடும் வரிகள் கவனிக்க வேண்டிய கண்டுபிடிப்பு.

5சோதனை 4: நீங்கள் என்ன ஒட்டினீர்கள்

நீங்கள் இயக்கிய வரிகளை Terminal நினைவில் வைத்திருக்கிறது. எதையாவது பதிவிறக்கிய அல்லது decode செய்த கடைசி 30 வரிகளை இது காட்டுகிறது:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6சோதனை 5: macOS ஏற்காத ஆப்கள்

உங்கள் Applications கோப்புறையில் எந்த ஆப்களை ஏற்காது என்று macOS-இன் Gatekeeper சொல்ல முடியும் (அடையாளம் காணப்பட்ட டெவலப்பரால் கையொப்பமிடப்படாதவை, அல்லது Apple சோதிக்காதவை):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

சில பழைய அல்லது open-source ஆப்கள் இங்கே தோன்றும், அவை பரவாயில்லை. நிறுவியதாக நினைவில்லாத ஆப்தான் கண்டுபிடிப்பு. உங்கள் Downloads கோப்புறையையும் இதே போலக் கண்ணால் பாருங்கள், புதியது முதலில்:

ls -lt ~/Downloads | head -n 20

7சோதனை 6: தொலைநிலை அணுகல் மற்றும் profiles

System Settings → General → Sharing-ஐத் திறங்கள். நீங்களே பயன்படுத்தாவிட்டால் Screen Sharing, Remote Login, Remote Management, File Sharing ஆகியவை அணைக்கப்பட்டிருக்க வேண்டும்.

பிறகு System Settings → General → Device Management-ஐத் திறங்கள் (பழைய macOS-இல்: Privacy & Security → Profiles). நீங்கள் நிறுவாத profile உங்கள் உலாவலை வேறொருவரின் server வழியாக அனுப்பலாம் அல்லது அவர்களின் சான்றிதழ்களை நம்ப வைக்கலாம். அது உங்கள் பள்ளி அல்லது பணியிடத்திலிருந்து வந்ததல்ல என்று உறுதியாகத் தெரிந்தால் மட்டுமே அதை நீக்குங்கள்.

8சோதனை 7: இணையத்துடன் யார் பேசுகிறார்கள்

இது ஒவ்வொரு நிரலுக்கும் திறந்திருக்கும் இணைய இணைப்புகளை எண்ணுகிறது:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

உங்கள் உலாவி, Mail, Messages, iCloud ஆகியவை இயல்பானவை. உங்களுக்குத் தெரியாத பெயர், அல்லது osascript, python3, curl போன்ற script இயக்கி இணைப்புகளை வைத்திருந்தால், அதைப் பார்ப்பது நல்லது. மற்ற கணினிகளிலிருந்து இணைப்புகளுக்காகக் காத்திருக்கும் நிரல்களைப் பார்க்க:

lsof -nP -iTCP -sTCP:LISTEN

9ஏதாவது கண்டால்

1. இணைப்பைத் துண்டியுங்கள்: Wi-Fi-ஐ அணைத்து, network கேபிள் இருந்தால் அதை எடுத்துவிடுங்கள்.
2. வேறொரு சாதனத்திலிருந்து, முதலில் உங்கள் Apple Account, மின்னஞ்சல், வங்கி ஆகியவற்றின் கடவுச்சொற்களை மாற்றுங்கள், மற்ற எல்லா sessions-இலிருந்தும் வெளியேறுங்கள், two-factor authentication-ஐ இயக்குங்கள்.
3. மீட்புச் சொற்றொடர் அல்லது keys இந்த Mac-இல் இருந்த ஒவ்வொரு கிரிப்டோ வாலெட்டையும் இழந்ததாகக் கருதுங்கள். சுத்தமான சாதனத்தில் புதிய வாலெட்டை உருவாக்கி நிதியை மாற்றுங்கள். திருட்டு மென்பொருளிடம் சொற்றொடர் ஏற்கெனவே இருக்கலாம், பரிமாற்றத்தைத் திரும்பப் பெற முடியாது. கிரிப்டோ வாலெட் பாதுகாப்பு பக்கத்தைப் பாருங்கள்.
4. கண்டதை நீக்குங்கள்: Activity Monitor-இல் அதை நிறுத்துங்கள், launch agent கோப்பையும் ஆப்பையும் நீக்குங்கள், மறுதொடக்கம் செய்யுங்கள். எல்லாவற்றையும் கண்டுபிடித்தீர்களா என்று உறுதியாகத் தெரியாவிட்டால், உங்கள் ஆவணங்களை (ஆப்களை அல்ல) backup எடுத்து Mac-ஐ அழியுங்கள்: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. malware தடுக்கப்பட்டு Trash-க்கு நகர்த்தப்பட்டது என்ற அறிவிப்பைப் பார்த்தீர்களா? அது XProtect, Mac-இன் உள்ளமைந்த பாதுகாப்பு, தான் அடையாளம் கண்ட கோப்பை நீக்குகிறது. நல்லதுதான், ஆனால் அந்தக் கோப்பு எங்கிருந்து வந்தது என்று பாருங்கள்: அதே தளம் வேறு எதையாவதும் அனுப்பியிருக்கலாம். Mac-இன் உள்ளமைந்த பாதுகாப்பு என்ன செய்கிறது பக்கத்தைப் பாருங்கள்.

10மீண்டும் Terminal-இல் எதையும் ஒட்டும் முன்

• தளத்தின் முகவரியை நீங்களே தட்டச்சு செய்யுங்கள்; விளம்பரம் அல்லது அரட்டையிலுள்ள இணைப்பைப் பின்தொடராதீர்கள்.
• ஒட்டும் முன் வரியைப் படியுங்கள். | sh, | bash, base64, osascript இருந்தால் அது எதையோ இயக்குகிறது என்று பொருள்.
• இணையதளம், captcha அல்லது "உடைந்த" பதிவிறக்கத்துக்கான உண்மையான தீர்வு எதற்கும் Terminal தேவையில்லை.
• ஒரு வரி உங்கள் கடவுச்சொல்லைக் கேட்டால், நிறுத்தி, அது எதற்கு என்று யோசியுங்கள்.

11கேள்விகள்

என் Mac hack செய்யப்பட்டது. முதலில் என்ன செய்வது?

அதை இணையத்திலிருந்து துண்டியுங்கள், பிறகு வேறொரு சாதனத்தில் உங்கள் Apple Account, மின்னஞ்சல், வங்கிக் கடவுச்சொற்களை மாற்றி, மற்ற எல்லா sessions-இலிருந்தும் வெளியேறுங்கள். மீட்புச் சொற்றொடர் Mac-இல் இருந்த கிரிப்டோவைச் சுத்தமான சாதனத்தில் உருவாக்கிய புதிய வாலெட்டுக்கு மாற்றுங்கள். பிறகு இந்தப் பக்கத்திலுள்ள சோதனைகளைச் செய்யுங்கள் அல்லது Mac-ஐ அழியுங்கள்.

என் Mac இப்போது hack ஆகியுள்ளதா என்று எப்படித் தெரிந்துகொள்வது?

அடையாளம் தெரியாத login items அல்லது launch agents, நீங்கள் மாற்றாத shell கோப்புகள், macOS ஏற்காத ஆப்கள், இணைய இணைப்புள்ள தெரியாத நிரல்கள் ஆகியவற்றைத் தேடுங்கள். நீங்கள் தூண்டாத கடவுச்சொல் கேள்விகளும், தானாக மாறிய உலாவி அமைப்புகளும் கூட அறிகுறிகள்.

malware தடுக்கப்பட்டு Trash-க்கு நகர்த்தப்பட்டது என்று macOS சொன்னது. நான் பாதுகாப்பாக இருக்கிறேனா?

XProtect அறியப்பட்ட தீங்கான கோப்பை அடையாளம் கண்டு, அது இயங்கும் முன் நீக்கியது என்று பொருள். கோப்பு எங்கிருந்து வந்தது என்று பார்த்து, மேலே உள்ள சோதனைகளைச் செய்யுங்கள்: அதே தளம் அல்லது மின்னஞ்சல் XProtect அடையாளம் காணாத வேறு எதையாவதும் அனுப்பியிருக்கலாம்.

Terminal-இல் கட்டளையை ஒட்டுவது பாதுகாப்பானதா?

தளத்தின் முகவரியை நீங்களே தட்டச்சு செய்து, அந்த வரி என்ன செய்கிறது என்று தெரிந்தால் மட்டுமே. விளம்பரம், pop-up, "verify you are human" பக்கம் அல்லது அரட்டையிலிருந்து வரும் வரியை ஒருபோதும் ஒட்டாதீர்கள். அது பதிவிறக்கத்தை sh அல்லது bash-க்குள் pipe செய்தால், base64-ஐ decode செய்தால், அல்லது உங்கள் கடவுச்சொல்லைக் கேட்டால், நிறுத்துங்கள்.

என் Mac-ஐ அழிக்க வேண்டுமா?

கண்டதை அடையாளம் கண்டு நீக்க முடியாவிட்டால், அல்லது Mac-இல் அதிக மதிப்புள்ள மீட்புச் சொற்றொடர்கள் அல்லது keys இருந்தால், அழிப்பதே பாதுகாப்பான தேர்வு. ஆப்களை அல்ல, உங்கள் ஆவணங்களை backup எடுத்து, முதலிலிருந்து மீண்டும் உள்நுழையுங்கள்.