Terminal'e komut yapıştırdınız mı? Mac'inizi hemen kontrol edin.

1Yapıştırılan satır ne yapar

2025'in sonlarından beri yapay zekâ araçları için sahte sayfalar ve "Mac'inizi temizleyin" arama reklamları, Mac kullanıcılarından Terminal'i açıp tek bir satır yapıştırmalarını istiyor. Sophos, Kasım 2025 ile Şubat 2026 arasında MacSync bilgi hırsızını bu yolla kuran üç kampanyanın izini sürdü: satır bir betik indiriyor, Mac'inizin parolasını istiyor, ardından anahtar zinciri verilerini, kayıtlı girişleri ve kripto cüzdanı kurtarma ifadelerini alıyor (The Hacker News, 16 Mart 2026). Microsoft da Atomic (AMOS), MacSync ve DigitStealer bilgi hırsızları için aynı tuzakları bildiriyor; bunlara çoğu zaman arama reklamları üzerinden ulaşılıyor (Security Affairs, Microsoft'un raporu üzerine, 4 Şubat 2026).

Neden hiçbir şey sizi uyarmadı: macOS, internetten indirilen bir yazılımı ilk açmanızdan önce size sorar (Apple Platform Güvenliği) ve bir dosyanın internetten geldiğini tarayıcıların koyduğu bir karantina işaretinden anlar. Terminal'de curl ile indirilen dosyalar bu işareti almayabilir (MITRE ATT&CK T1553.001) ve doğrudan bash komutuna aktarılan bir betik hiçbir zaman uygulama olarak açılmaz, bu yüzden uyarı hiç görünmez.

Bu satırlar genellikle, ortasında bir web adresiyle, şunlardan birine benzer:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Kontrol 1: giriş öğeleri ve arka plan uygulamaları

Sistem Ayarları → Genel → Giriş Öğeleri ve Uzantılar'ı açın (macOS 14 ve öncesinde: Giriş Öğeleri). Open at Login ve Allow in the Background bölümlerine bakın.

Tanımadığınız her şey daha yakından bakmaya değer; özellikle garip adlı, geliştiricisi gösterilmeyen ya da komutu yapıştırdığınız gün ortaya çıkan öğeler. Bir arka plan öğesini kapatmak yeniden başlamasını engeller ama onu silmez.

3Kontrol 2: launch agent'lar ve daemon'lar

Kendi kendine başlayan programlar üç klasörden birine küçük bir dosya bırakır. Bu komut onları en yeniden başlayarak listeler:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Adların çoğu com.company.app.plist gibi görünür. Komutu yapıştırdığınız güne yakın tarihli dosyalara, kendi Library klasörünüzde Apple'ı taklit eden adlara (com.apple…) ya da rastgele harflerden oluşan adlara bakın. Bir dosyanın hangi programı başlattığını görmek için NAME yerine dosyanın adını yazın:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Kontrol 3: kabuk başlangıç dosyalarınız

Kabuğunuz Terminal her açıldığında bu dosyaları çalıştırır, bu yüzden bir bilgi hırsızı buraya bir satır gizleyebilir. Bu komut her birinin en son ne zaman değiştiğini gösterir:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Biri, düzenlediğinizi hatırlamadığınız bir günde değiştiyse son satırlarına bakın:

tail -n 20 ~/.zshrc

Sizin yazmadığınız ve içinde curl, base64, osascript ya da bir web adresi geçen satırlar bir bulgudur.

5Kontrol 4: ne yapıştırdınız

Terminal çalıştırdığınız satırları saklar. Bu komut, bir şey indiren ya da çözen son 30 satırı gösterir:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Kontrol 5: macOS'in kabul etmeyeceği uygulamalar

macOS'in Gatekeeper'ı, Uygulamalar klasörünüzdeki hangi uygulamaları kabul etmeyeceğini söyleyebilir (tanınmış bir geliştirici tarafından imzalanmamış ya da Apple tarafından denetlenmemiş olanlar):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Bazı eski ya da açık kaynaklı uygulamalar burada görünür ve sorunsuzdur. Kurduğunuzu hatırlamadığınız bir uygulama bulgudur. Aynısını İndirilenler klasörünüz için de gözle, en yeniden başlayarak yapın:

ls -lt ~/Downloads | head -n 20

7Kontrol 6: uzaktan erişim ve profiller

Sistem Ayarları → Genel → Paylaşma'yı açın. Ekran Paylaşma, Uzaktan Giriş, Uzaktan Yönetim ve Dosya Paylaşma, kendiniz kullanmıyorsanız kapalı olmalı.

Ardından Sistem Ayarları → Genel → Aygıt Yönetimi'ni açın (eski macOS'te: Gizlilik ve Güvenlik → Profiller). Sizin kurmadığınız bir profil, gezintinizi başka birinin sunucusu üzerinden geçirebilir ya da onun sertifikalarına güvenebilir. Bir profili yalnızca okulunuzdan ya da işvereninizden gelmediğinden eminseniz kaldırın.

8Kontrol 7: internetle kim konuşuyor

Bu komut, program başına açık internet bağlantılarını sayar:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Tarayıcınız, Mail, Mesajlar ve iCloud normaldir. Tanımadığınız bir ad ya da bağlantı tutan osascript, python3 veya curl gibi bir betik çalıştırıcı incelemeye değer. Başka bilgisayarlardan bağlantı bekleyen programları görmek için:

lsof -nP -iTCP -sTCP:LISTEN

9Bir şey bulursanız

1. Wi-Fi bağlantısını kesin ve varsa ağ kablosunu çıkarın.
2. Başka bir aygıttan önce Apple Hesabınızın, e-postanızın ve bankanızın parolalarını değiştirin, diğer tüm oturumları kapatın ve iki faktörlü kimlik doğrulamayı açın.
3. Kurtarma ifadesi ya da anahtarları bu Mac'te bulunan her kripto cüzdanını kaybedilmiş sayın. Temiz bir aygıtta yeni bir cüzdan oluşturun ve fonları taşıyın. Bir bilgi hırsızı ifadeyi çoktan almış olabilir ve bir transfer geri alınamaz. Bkz. kripto cüzdanı güvenliği.
4. Bulduğunuzu kaldırın: Etkinlik Monitörü'nden sonlandırın, launch agent dosyasını ve uygulamayı silin, ardından yeniden başlatın. Her şeyi bulduğunuzdan emin değilseniz belgelerinizi (uygulamalarınızı değil) yedekleyin ve Mac'i silin: Sistem Ayarları → Genel → Aktar veya Sıfırla → Tüm İçerikleri ve Ayarları Sil.
5. Kötü amaçlı yazılımın engellendiğini ve Çöp Sepeti'ne taşındığını söyleyen bir uyarı mı gördünüz? Bu, Mac'in yerleşik koruması XProtect'in tanıdığı bir dosyayı kaldırmasıdır. İyi, ama dosyanın nereden geldiğini kontrol edin: aynı site başka şeyler de göndermiş olabilir. Bkz. Mac'in yerleşik koruması ne yapar.

10Terminal'e yeniden bir şey yapıştırmadan önce

• Sitenin adresini kendiniz yazın; bir reklamı ya da sohbetteki bir bağlantıyı izlemeyin.
• Satırı yapıştırmadan önce okuyun. | sh, | bash, base64 ve osascript, satırın bir şey çalıştırdığı anlamına gelir.
• Bir web sitesi, bir captcha ya da "bozuk" bir indirme için gerçek hiçbir çözüm Terminal gerektirmez.
• Bir satır parolanızı istiyorsa durun ve bunun ne için olduğunu kendinize sorun.

11Sorular

Mac'im hacklendi. İlk ne yapmalıyım?

İnternet bağlantısını kesin, ardından başka bir aygıttan Apple Hesabı, e-posta ve banka parolalarınızı değiştirin ve diğer tüm oturumları kapatın. Kurtarma ifadesi Mac'te bulunan kriptoyu temiz bir aygıtta oluşturulmuş yeni bir cüzdana taşıyın. Ardından bu sayfadaki kontrolleri yapın ya da Mac'i silin.

Mac'imin şu anda hacklenip hacklenmediğini nasıl anlarım?

Tanımadığınız giriş öğelerine ya da launch agent'lara, sizin değiştirmediğiniz kabuk dosyalarına, macOS'in kabul etmeyeceği uygulamalara ve internet bağlantısı olan bilinmeyen programlara bakın. Sizin tetiklemediğiniz parola istekleri ve kendiliğinden değişen tarayıcı ayarları da birer işarettir.

macOS, kötü amaçlı yazılımın engellendiğini ve Çöp Sepeti'ne taşındığını söyledi. Güvende miyim?

XProtect'in bilinen kötü amaçlı bir dosyayı tanıdığı ve çalışmadan önce kaldırdığı anlamına gelir. Dosyanın nereden geldiğini kontrol edin ve yukarıdaki kontrolleri yapın: aynı site ya da e-posta, XProtect'in tanımadığı bir şey de getirmiş olabilir.

Terminal'e komut yapıştırmak güvenli mi?

Yalnızca sitenin adresini kendiniz yazdıysanız ve satırın ne yaptığını biliyorsanız. Bir reklamdan, açılır pencereden, "insan olduğunuzu doğrulayın" sayfasından ya da sohbetten gelen bir satırı asla yapıştırmayın. Satır bir indirmeyi sh ya da bash komutuna aktarıyorsa, base64 çözüyorsa ya da parolanızı istiyorsa durun.

Mac'imi silmem gerekir mi?

Bulduğunuz şeyi tanımlayıp kaldıramıyorsanız ya da Mac'te çok değerli kurtarma ifadeleri veya anahtarlar varsa, silmek güvenli seçimdir. Uygulamalarınızı değil belgelerinizi yedekleyin ve her yerde baştan oturum açın.