Terminal లో కమాండ్ పేస్ట్ చేశారా? మీ Mac ని ఇప్పుడే చెక్ చేయండి.

1పేస్ట్ చేసిన లైన్ ఏమి చేస్తుంది

2025 చివరి నుంచి, AI టూల్స్ కోసం నకిలీ పేజీలు, "మీ Mac ని క్లీన్ చేయండి" లాంటి సెర్చ్ ప్రకటనలు Mac వాడేవారిని Terminal తెరిచి ఒక లైన్ పేస్ట్ చేయమని అడుగుతున్నాయి. నవంబర్ 2025 నుంచి ఫిబ్రవరి 2026 మధ్య ఈ విధంగా MacSync స్టీలర్‌ను ఇన్‌స్టాల్ చేసిన మూడు ప్రచారాలను Sophos గుర్తించింది: ఆ లైన్ ఒక స్క్రిప్ట్‌ను డౌన్‌లోడ్ చేస్తుంది, మీ Mac పాస్‌వర్డ్ అడుగుతుంది, ఆ తర్వాత keychain డేటా, సేవ్ చేసిన లాగిన్‌లు, క్రిప్టో వాలెట్ రికవరీ ఫ్రేజ్‌లను తీసుకెళ్తుంది (The Hacker News, 16 మార్చి 2026). Atomic (AMOS), MacSync, DigitStealer స్టీలర్ల కోసం కూడా ఇవే ఎరలు వాడుతున్నారని Microsoft చెబుతోంది, తరచుగా సెర్చ్ ప్రకటనల ద్వారా (Microsoft రిపోర్ట్‌పై Security Affairs, 4 ఫిబ్రవరి 2026).

ఏదీ ఎందుకు హెచ్చరించలేదు: ఇంటర్నెట్ నుంచి డౌన్‌లోడ్ చేసిన సాఫ్ట్‌వేర్‌ను మీరు మొదటిసారి తెరిచే ముందు macOS అడుగుతుంది (Apple Platform Security); ఫైల్ ఇంటర్నెట్ నుంచి వచ్చిందని బ్రౌజర్లు పెట్టే quarantine ఫ్లాగ్ ద్వారా అది తెలుసుకుంటుంది. Terminal లో curl తో తెచ్చిన ఫైళ్లకు ఆ ఫ్లాగ్ రాకపోవచ్చు (MITRE ATT&CK T1553.001), నేరుగా bash లోకి pipe చేసిన స్క్రిప్ట్ ఎప్పుడూ యాప్‌గా తెరుచుకోదు, అందుకే ఆ ప్రాంప్ట్ కనిపించనే కనిపించదు.

ఇలాంటి లైన్లు సాధారణంగా వీటిలో ఒకదానిలా ఉంటాయి, మధ్యలో ఒక వెబ్ అడ్రస్ ఉంటుంది:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2చెక్ 1: login items, బ్యాక్‌గ్రౌండ్ యాప్‌లు

System Settings → General → Login Items & Extensions తెరవండి (macOS 14, అంతకంటే పాత వాటిలో: Login Items). Open at Login, Allow in the Background చూడండి.

మీరు గుర్తుపట్టని ఏదైనా దగ్గరగా చూడదగ్గది, ముఖ్యంగా వింత పేరు ఉన్నది, డెవలపర్ పేరు చూపించనిది, లేదా మీరు కమాండ్ పేస్ట్ చేసిన రోజే కనిపించినది. బ్యాక్‌గ్రౌండ్ ఐటమ్‌ను ఆఫ్ చేస్తే అది మళ్లీ మొదలవ్వదు; కానీ అది డిలీట్ అవ్వదు.

3చెక్ 2: launch agents, daemons

తమంతట తాము మొదలయ్యే ప్రోగ్రామ్‌లు మూడు ఫోల్డర్లలో ఒకదానిలో చిన్న ఫైల్ వదులుతాయి. ఇది వాటిని చూపిస్తుంది, కొత్తవి ముందు:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

చాలా పేర్లు com.company.app.plist లా ఉంటాయి. మీరు కమాండ్ పేస్ట్ చేసిన రోజు చుట్టూ తేదీ ఉన్న ఫైళ్లు, మీ సొంత Library ఫోల్డర్‌లో Apple ను అనుకరించే పేర్లు (com.apple…), లేదా యాదృచ్ఛిక అక్షరాలతో ఉన్న పేర్ల కోసం చూడండి. ఒక ఫైల్ ఏ ప్రోగ్రామ్‌ను మొదలుపెడుతుందో చూడటానికి, NAME బదులు దాని పేరు పెట్టండి:

plutil -p ~/Library/LaunchAgents/NAME.plist

4చెక్ 3: మీ shell స్టార్టప్ ఫైళ్లు

Terminal తెరిచిన ప్రతిసారీ మీ shell ఈ ఫైళ్లను నడుపుతుంది, కాబట్టి స్టీలర్ అక్కడ ఒక లైన్ దాచవచ్చు. ఒక్కొక్కటి చివరిసారి ఎప్పుడు మారిందో ఇది చూపిస్తుంది:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

మీరు ఎడిట్ చేసినట్టు గుర్తులేని రోజున ఏదైనా మారితే, దాని చివరి లైన్లు చూడండి:

tail -n 20 ~/.zshrc

మీరు రాయని, curl, base64, osascript లేదా వెబ్ అడ్రస్ ఉన్న లైన్లు గమనించాల్సిన విషయం.

5చెక్ 4: మీరు ఏమి పేస్ట్ చేశారు

మీరు నడిపిన లైన్లను Terminal గుర్తుంచుకుంటుంది. ఏదైనా డౌన్‌లోడ్ లేదా డీకోడ్ చేసిన చివరి 30 లైన్లను ఇది చూపిస్తుంది:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6చెక్ 5: macOS అంగీకరించని యాప్‌లు

మీ Applications ఫోల్డర్‌లో ఏ యాప్‌లను అది అంగీకరించదో macOS లోని Gatekeeper చెప్పగలదు (గుర్తించబడిన డెవలపర్ సైన్ చేయనివి, లేదా Apple చెక్ చేయనివి):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

కొన్ని పాత లేదా open-source యాప్‌లు ఇక్కడ కనిపిస్తాయి, అవి సరే. మీకు ఇన్‌స్టాల్ చేసినట్టు గుర్తులేని యాప్ అసలు విషయం. మీ Downloads ఫోల్డర్‌ను కూడా అలాగే కంటితో చూడండి, కొత్తవి ముందు:

ls -lt ~/Downloads | head -n 20

7చెక్ 6: రిమోట్ యాక్సెస్, ప్రొఫైల్స్

System Settings → General → Sharing తెరవండి. మీరే వాడకపోతే Screen Sharing, Remote Login, Remote Management, File Sharing ఆఫ్‌లో ఉండాలి.

తర్వాత System Settings → General → Device Management తెరవండి (పాత macOS లో: Privacy & Security → Profiles). మీరు ఇన్‌స్టాల్ చేయని ప్రొఫైల్ మీ బ్రౌజింగ్‌ను వేరొకరి సర్వర్ ద్వారా పంపగలదు లేదా వారి సర్టిఫికెట్లను నమ్మేలా చేయగలదు. అది మీ స్కూల్ లేదా ఉద్యోగ సంస్థది కాదని ఖచ్చితంగా తెలిస్తేనే తీసేయండి.

8చెక్ 7: ఇంటర్నెట్‌తో ఎవరు మాట్లాడుతున్నారు

ఇది ఒక్కో ప్రోగ్రామ్‌కు తెరిచి ఉన్న ఇంటర్నెట్ కనెక్షన్లను లెక్కిస్తుంది:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

మీ బ్రౌజర్, Mail, Messages, iCloud మామూలే. మీకు తెలియని పేరు, లేదా osascript, python3, curl లాంటి స్క్రిప్ట్ రన్నర్ కనెక్షన్లు పట్టుకుని ఉంటే, అది చూడదగ్గది. ఇతర కంప్యూటర్ల నుంచి కనెక్షన్ల కోసం ఎదురుచూస్తున్న ప్రోగ్రామ్‌లను చూడటానికి:

lsof -nP -iTCP -sTCP:LISTEN

9మీకు ఏదైనా దొరికితే

1. డిస్‌కనెక్ట్ చేయండి: Wi-Fi ఆఫ్ చేసి, నెట్‌వర్క్ కేబుల్ ఉంటే తీసేయండి.
2. వేరే డివైస్ నుంచి, ముందుగా మీ Apple Account, ఈమెయిల్, బ్యాంక్ పాస్‌వర్డ్‌లు మార్చండి, మిగతా అన్ని సెషన్ల నుంచి సైన్ అవుట్ అవ్వండి, two-factor authentication ఆన్ చేయండి.
3. రికవరీ ఫ్రేజ్ లేదా keys ఈ Mac లో ఉన్న ప్రతి క్రిప్టో వాలెట్‌ను పోయినట్టే భావించండి. శుభ్రమైన డివైస్‌లో కొత్త వాలెట్ సృష్టించి నిధులను తరలించండి. స్టీలర్ దగ్గర ఇప్పటికే ఫ్రేజ్ ఉండవచ్చు, ట్రాన్స్‌ఫర్‌ను వెనక్కి తీసుకోలేరు. క్రిప్టో వాలెట్ భద్రత చూడండి.
4. దొరికినదాన్ని తీసేయండి: Activity Monitor లో దాన్ని ఆపండి, launch agent ఫైల్‌ను, యాప్‌ను డిలీట్ చేయండి, రీస్టార్ట్ చేయండి. అన్నీ దొరికాయో లేదో ఖచ్చితంగా తెలియకపోతే, మీ డాక్యుమెంట్ల (యాప్‌ల కాదు) బ్యాకప్ తీసుకుని Mac ని ఎరేజ్ చేయండి: System Settings → General → Transfer or Reset → Erase All Content and Settings.
5. malware బ్లాక్ చేసి Trash కు తరలించామనే అలర్ట్ చూశారా? అది XProtect, Mac లోని బిల్ట్-ఇన్ రక్షణ, తను గుర్తించిన ఫైల్‌ను తీసేస్తోంది. మంచిదే, కానీ ఆ ఫైల్ ఎక్కడి నుంచి వచ్చిందో చూడండి: అదే సైట్ ఇంకా పంపి ఉండవచ్చు. Mac బిల్ట్-ఇన్ రక్షణ ఏమి చేస్తుంది చూడండి.

10మళ్లీ Terminal లో ఏదైనా పేస్ట్ చేసే ముందు

• సైట్ అడ్రస్‌ను మీరే టైప్ చేయండి; ప్రకటన లేదా చాట్‌లోని లింక్‌ను ఫాలో అవ్వకండి.
• పేస్ట్ చేసే ముందు లైన్ చదవండి. | sh, | bash, base64, osascript ఉంటే అది ఏదో నడుపుతుందని అర్థం.
• వెబ్‌సైట్, captcha లేదా "పాడైన" డౌన్‌లోడ్ కోసం నిజమైన పరిష్కారం ఏదీ Terminal అడగదు.
• ఏదైనా లైన్ మీ పాస్‌వర్డ్ అడిగితే, ఆగి, అది దేనికోసమో ఆలోచించండి.

11ప్రశ్నలు

నా Mac హ్యాక్ అయింది. ముందుగా ఏమి చేయాలి?

దాన్ని ఇంటర్నెట్ నుంచి డిస్‌కనెక్ట్ చేయండి, తర్వాత వేరే డివైస్‌తో మీ Apple Account, ఈమెయిల్, బ్యాంక్ పాస్‌వర్డ్‌లు మార్చి, మిగతా అన్ని సెషన్ల నుంచి సైన్ అవుట్ అవ్వండి. రికవరీ ఫ్రేజ్ Mac లో ఉన్న క్రిప్టోను శుభ్రమైన డివైస్‌లో సృష్టించిన కొత్త వాలెట్‌కు తరలించండి. ఆ తర్వాత ఈ పేజీలోని చెక్‌లు చేయండి లేదా Mac ని ఎరేజ్ చేయండి.

నా Mac ఇప్పుడు హ్యాక్ అయిందో లేదో ఎలా తెలుసుకోవాలి?

మీరు గుర్తుపట్టని login items లేదా launch agents, మీరు మార్చని shell ఫైళ్లు, macOS అంగీకరించని యాప్‌లు, ఇంటర్నెట్ కనెక్షన్లు ఉన్న తెలియని ప్రోగ్రామ్‌ల కోసం చూడండి. మీరు ప్రారంభించని పాస్‌వర్డ్ ప్రాంప్ట్‌లు, తమంతట తామే మారిన బ్రౌజర్ సెట్టింగ్‌లు కూడా సంకేతాలే.

malware బ్లాక్ చేసి Trash కు తరలించామని macOS చెప్పింది. నేను సురక్షితమేనా?

XProtect తెలిసిన హానికరమైన ఫైల్‌ను గుర్తించి, అది నడిచే ముందే తీసేసిందని అర్థం. ఫైల్ ఎక్కడి నుంచి వచ్చిందో చూసి, పైన ఉన్న చెక్‌లు చేయండి: అదే సైట్ లేదా ఈమెయిల్ XProtect గుర్తించని ఇంకేదైనా కూడా పంపి ఉండవచ్చు.

Terminal లో కమాండ్ పేస్ట్ చేయడం సురక్షితమేనా?

సైట్ అడ్రస్‌ను మీరే టైప్ చేసి, ఆ లైన్ ఏమి చేస్తుందో మీకు తెలిస్తేనే. ప్రకటన, పాప్-అప్, "verify you are human" పేజీ లేదా చాట్ నుంచి వచ్చిన లైన్‌ను ఎప్పుడూ పేస్ట్ చేయకండి. అది డౌన్‌లోడ్‌ను sh లేదా bash లోకి pipe చేస్తే, base64 ను డీకోడ్ చేస్తే, లేదా మీ పాస్‌వర్డ్ అడిగితే, ఆగండి.

నా Mac ని ఎరేజ్ చేయాలా?

దొరికినదాన్ని గుర్తించి తీసేయలేకపోతే, లేదా Mac లో ఎక్కువ విలువైన రికవరీ ఫ్రేజ్‌లు లేదా keys ఉంటే, ఎరేజ్ చేయడమే సురక్షితమైన ఎంపిక. యాప్‌లు కాదు, మీ డాక్యుమెంట్ల బ్యాకప్ తీసుకుని, మొదటి నుంచి మళ్లీ సైన్ ఇన్ అవ్వండి.