วางคำสั่งในเทอร์มินัลไปแล้ว? ตรวจ Mac ของคุณตอนนี้

1บรรทัดที่วางไปทำอะไร

ตั้งแต่ปลายปี 2025 หน้าเว็บปลอมของเครื่องมือ AI และโฆษณาค้นหาแนว "ล้างเครื่อง Mac" ขอให้ผู้ใช้ Mac เปิดเทอร์มินัลแล้ววางคำสั่งหนึ่งบรรทัด Sophos ติดตามสามแคมเปญระหว่างพฤศจิกายน 2025 ถึงกุมภาพันธ์ 2026 ที่ติดตั้งมัลแวร์ขโมยข้อมูล MacSync ด้วยวิธีนี้: บรรทัดนั้นดาวน์โหลดสคริปต์ ขอรหัสผ่าน Mac ของคุณ แล้วเอาข้อมูลพวงกุญแจ ข้อมูลเข้าสู่ระบบที่บันทึกไว้ และวลีกู้คืนของกระเป๋าคริปโตไป (The Hacker News, 16 มีนาคม 2026) Microsoft รายงานเหยื่อล่อแบบเดียวกันสำหรับมัลแวร์ขโมยข้อมูล Atomic (AMOS), MacSync และ DigitStealer ซึ่งมักมาจากโฆษณาค้นหา (Security Affairs เรื่องรายงานของ Microsoft, 4 กุมภาพันธ์ 2026)

ทำไมไม่มีอะไรเตือน: macOS จะถามก่อนที่คุณเปิดซอฟต์แวร์ที่ดาวน์โหลดจากอินเทอร์เน็ตครั้งแรก (Apple Platform Security) และรู้ว่าไฟล์มาจากอินเทอร์เน็ตจากแฟล็กกักกัน (quarantine) ที่เบราว์เซอร์ใส่ไว้ ไฟล์ที่ดึงด้วย curl ในเทอร์มินัลอาจไม่มีแฟล็กนี้ (MITRE ATT&CK T1553.001) และสคริปต์ที่ส่งตรงเข้า bash จะไม่ถูกเปิดเป็นแอปเลย หน้าต่างยืนยันจึงไม่ขึ้น

บรรทัดพวกนี้มักหน้าตาแบบใดแบบหนึ่งต่อไปนี้ โดยมีที่อยู่เว็บอยู่ตรงกลาง:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2ตรวจข้อ 1: รายการเข้าสู่ระบบและแอปเบื้องหลัง

เปิด การตั้งค่าระบบ → ทั่วไป → รายการเข้าสู่ระบบและส่วนขยาย (ใน macOS 14 และก่อนหน้า: รายการเข้าสู่ระบบ) แล้วดูที่ เปิดเมื่อเข้าสู่ระบบ และ อนุญาตในพื้นหลัง

รายการใดที่คุณไม่รู้จักควรดูให้ละเอียด โดยเฉพาะรายการที่ชื่อแปลก ไม่แสดงผู้พัฒนา หรือเพิ่งโผล่มาในวันที่คุณวางคำสั่ง การปิดรายการเบื้องหลังจะหยุดไม่ให้มันเริ่มทำงานอีก แต่ไม่ได้ลบมันออก

3ตรวจข้อ 2: launch agent และ daemon

โปรแกรมที่เริ่มทำงานเองจะทิ้งไฟล์เล็กๆ ไว้ในหนึ่งในสามโฟลเดอร์ คำสั่งนี้แสดงไฟล์เหล่านั้น เรียงจากใหม่สุด:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

ชื่อส่วนใหญ่หน้าตาแบบ com.company.app.plist มองหาไฟล์ที่ลงวันที่ราวๆ วันที่คุณวางคำสั่ง ชื่อที่เลียนแบบ Apple (com.apple…) ในโฟลเดอร์ Library ของคุณเอง หรือชื่อที่เป็นตัวอักษรสุ่ม หากต้องการดูว่าไฟล์ไหนเริ่มโปรแกรมอะไร ให้แทน NAME ด้วยชื่อไฟล์:

plutil -p ~/Library/LaunchAgents/NAME.plist

4ตรวจข้อ 3: ไฟล์เริ่มต้นของ shell

shell จะรันไฟล์เหล่านี้ทุกครั้งที่เปิดเทอร์มินัล มัลแวร์ขโมยข้อมูลจึงซ่อนบรรทัดไว้ตรงนี้ได้ คำสั่งนี้แสดงว่าแต่ละไฟล์ถูกแก้ล่าสุดเมื่อไร:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

ถ้าไฟล์ไหนเปลี่ยนในวันที่คุณจำไม่ได้ว่าแก้ไข ให้ดูบรรทัดท้ายๆ ของมัน:

tail -n 20 ~/.zshrc

บรรทัดที่คุณไม่ได้เขียนแต่มี curl, base64, osascript หรือที่อยู่เว็บ คือสิ่งผิดปกติที่ต้องจัดการ

5ตรวจข้อ 4: สิ่งที่คุณวางไป

เทอร์มินัลเก็บบรรทัดที่คุณรันไว้ คำสั่งนี้แสดง 30 บรรทัดล่าสุดที่ดาวน์โหลดหรือถอดรหัสอะไรบางอย่าง:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6ตรวจข้อ 5: แอปที่ macOS ไม่ยอมรับ

Gatekeeper ของ macOS บอกได้ว่าแอปไหนในโฟลเดอร์แอปพลิเคชันที่มันจะไม่ยอมรับ (ไม่ได้ลงนามโดยผู้พัฒนาที่ระบุตัวตนได้ หรือไม่ได้ผ่านการตรวจของ Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

แอปเก่าหรือแอปโอเพนซอร์สบางตัวขึ้นมาตรงนี้ได้และไม่เป็นไร แอปที่คุณจำไม่ได้ว่าติดตั้งคือสิ่งที่ต้องสงสัย ทำแบบเดียวกันด้วยตาสำหรับโฟลเดอร์ดาวน์โหลด เรียงจากใหม่สุด:

ls -lt ~/Downloads | head -n 20

7ตรวจข้อ 6: การเข้าถึงระยะไกลและโปรไฟล์

เปิด การตั้งค่าระบบ → ทั่วไป → การแชร์ แล้ว การแชร์หน้าจอ, การเข้าสู่ระบบระยะไกล, การจัดการระยะไกล และ การแชร์ไฟล์ ควรปิดไว้ เว้นแต่คุณใช้เอง

จากนั้นเปิด การตั้งค่าระบบ → ทั่วไป → การจัดการอุปกรณ์ (ใน macOS รุ่นเก่า: ความเป็นส่วนตัวและความปลอดภัย → โปรไฟล์) โปรไฟล์ที่คุณไม่ได้ติดตั้งเองอาจส่งการท่องเว็บของคุณผ่านเซิร์ฟเวอร์ของคนอื่น หรือทำให้เครื่องเชื่อถือใบรับรองของพวกเขา ลบออกก็ต่อเมื่อคุณแน่ใจว่าไม่ได้มาจากโรงเรียนหรือที่ทำงานของคุณ

8ตรวจข้อ 7: ใครกำลังคุยกับอินเทอร์เน็ต

คำสั่งนี้นับการเชื่อมต่ออินเทอร์เน็ตที่เปิดอยู่ของแต่ละโปรแกรม:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

เบราว์เซอร์ เมล ข้อความ และ iCloud เป็นเรื่องปกติ ชื่อที่คุณไม่รู้จัก หรือตัวรันสคริปต์อย่าง osascript, python3 หรือ curl ที่ถือการเชื่อมต่อไว้ ควรตรวจดู หากต้องการดูโปรแกรมที่รอการเชื่อมต่อจากคอมพิวเตอร์เครื่องอื่น:

lsof -nP -iTCP -sTCP:LISTEN

9ถ้าคุณพบอะไรผิดปกติ

1. ตัดการเชื่อมต่อ Wi-Fi และถอดสายแลนทุกเส้น
2. จากอุปกรณ์อื่น เปลี่ยนรหัสผ่านบัญชี Apple อีเมล และธนาคารก่อน ออกจากระบบทุกเซสชันอื่น และเปิดการตรวจสอบสิทธิ์สองปัจจัย
3. ถือว่ากระเป๋าคริปโตทุกใบที่วลีกู้คืนหรือคีย์เคยอยู่บน Mac เครื่องนี้สูญหายไปแล้ว สร้างกระเป๋าใหม่บนอุปกรณ์ที่สะอาดแล้วย้ายเงิน มัลแวร์ขโมยข้อมูลอาจได้วลีนั้นไปแล้ว และการโอนย้อนกลับไม่ได้ ดู ความปลอดภัยของกระเป๋าคริปโต
4. ลบสิ่งที่พบ: ปิดมันในตัวติดตามกิจกรรม ลบไฟล์ launch agent และแอป แล้วรีสตาร์ท ถ้าไม่แน่ใจว่าพบครบแล้ว ให้สำรองเอกสาร (ไม่ใช่แอป) แล้วลบข้อมูลใน Mac: การตั้งค่าระบบ → ทั่วไป → ถ่ายโอนหรือรีเซ็ต → ลบเนื้อหาและการตั้งค่าทั้งหมด
5. เห็นการแจ้งเตือนว่ามัลแวร์ถูกบล็อกและย้ายไปถังขยะ? นั่นคือ XProtect การป้องกันในตัวของ Mac ที่ลบไฟล์ที่มันรู้จัก ดีแล้ว แต่ให้ตรวจว่าไฟล์มาจากไหน เพราะเว็บเดียวกันอาจส่งอย่างอื่นมาอีก ดู การป้องกันในตัวของ Mac ทำอะไรบ้าง

10ก่อนจะวางอะไรลงในเทอร์มินัลอีกครั้ง

• พิมพ์ที่อยู่เว็บเอง อย่าตามโฆษณาหรือลิงก์ในแชต
• อ่านบรรทัดก่อนวาง | sh, | bash, base64 และ osascript หมายความว่ามันจะรันอะไรบางอย่าง
• ไม่มีวิธีแก้จริงสำหรับเว็บไซต์ แคปช่า หรือไฟล์ดาวน์โหลดที่ "เสีย" ที่ต้องใช้เทอร์มินัล
• ถ้าบรรทัดไหนขอรหัสผ่าน ให้หยุดแล้วถามตัวเองว่าจะเอาไปใช้ทำอะไร

11คำถาม

Mac ของฉันโดนแฮก ต้องทำอะไรก่อน?

ตัดการเชื่อมต่ออินเทอร์เน็ต แล้วใช้อุปกรณ์อื่นเปลี่ยนรหัสผ่านบัญชี Apple อีเมล และธนาคาร และออกจากระบบทุกเซสชันอื่น ย้ายคริปโตที่วลีกู้คืนเคยอยู่บน Mac ไปยังกระเป๋าใหม่ที่สร้างบนอุปกรณ์ที่สะอาด จากนั้นทำการตรวจในหน้านี้ หรือลบข้อมูลใน Mac

จะรู้ได้อย่างไรว่า Mac ของฉันโดนแฮกอยู่หรือไม่?

มองหารายการเข้าสู่ระบบหรือ launch agent ที่คุณไม่รู้จัก ไฟล์ shell ที่คุณไม่ได้แก้ แอปที่ macOS ไม่ยอมรับ และโปรแกรมแปลกหน้าที่เชื่อมต่ออินเทอร์เน็ต การขอรหัสผ่านที่คุณไม่ได้สั่ง และการตั้งค่าเบราว์เซอร์ที่เปลี่ยนเองก็เป็นสัญญาณเช่นกัน

macOS บอกว่ามัลแวร์ถูกบล็อกและย้ายไปถังขยะแล้ว ฉันปลอดภัยไหม?

หมายความว่า XProtect จำไฟล์อันตรายที่รู้จักได้และลบมันก่อนที่มันจะรัน ให้ตรวจว่าไฟล์มาจากไหนและทำการตรวจด้านบน เพราะเว็บหรืออีเมลเดียวกันอาจส่งสิ่งที่ XProtect ไม่รู้จักมาด้วย

วางคำสั่งลงในเทอร์มินัลปลอดภัยไหม?

ปลอดภัยเฉพาะเมื่อคุณพิมพ์ที่อยู่เว็บเองและรู้ว่าบรรทัดนั้นทำอะไร อย่าวางบรรทัดจากโฆษณา ป๊อปอัป หน้า "ยืนยันว่าคุณเป็นมนุษย์" หรือแชตเด็ดขาด ถ้ามันส่งไฟล์ดาวน์โหลดเข้า sh หรือ bash ถอดรหัส base64 หรือขอรหัสผ่าน ให้หยุด

ต้องลบข้อมูลใน Mac ทั้งหมดไหม?

ถ้าคุณระบุและลบสิ่งที่พบไม่ได้ หรือ Mac เคยเก็บวลีกู้คืนหรือคีย์ที่มีมูลค่าสูง การลบข้อมูลคือทางเลือกที่ปลอดภัย สำรองเอกสาร ไม่ใช่แอป แล้วลงชื่อเข้าใช้ใหม่ตั้งแต่ต้น