Вставили команду в Термінал? Перевірте свій Mac просто зараз.

1Що робить вставлений рядок

З кінця 2025 року підроблені сторінки ШІ-інструментів і пошукова реклама «очистіть свій Mac» просять користувачів Mac відкрити Термінал і вставити один рядок. Sophos відстежила три кампанії з листопада 2025 по лютий 2026 року, які так встановлювали стилер MacSync: рядок завантажує скрипт, просить пароль від Mac, а потім забирає дані зв’язки ключів, збережені логіни та фрази відновлення криптогаманців (The Hacker News, 16 березня 2026). Microsoft повідомляє про ті самі приманки для стилерів Atomic (AMOS), MacSync і DigitStealer, до яких люди часто потрапляють через пошукову рекламу (Security Affairs про звіт Microsoft, 4 лютого 2026).

Чому ніщо не попередило: macOS питає дозволу перед першим відкриттям програми, завантаженої з інтернету (Apple Platform Security), а дізнається, що файл прийшов з інтернету, за прапорцем карантину, який ставить браузер. Файли, завантажені через curl у Терміналі, можуть не отримати цей прапорець (MITRE ATT&CK T1553.001), а скрипт, переданий просто в bash, узагалі не відкривається як програма, тому вікно так і не з’являється.

Зазвичай такі рядки виглядають як один із цих, з вебадресою посередині:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Перевірка 1: елементи входу й фонові програми

Відкрийте Системні параметри → Загальні → Login Items & Extensions (у macOS 14 і раніше: Елементи входу). Перегляньте розділи Open at Login і Allow in the Background.

Варто придивитися до всього, чого ви не впізнаєте, особливо до елемента з дивною назвою, без зазначеного розробника або такого, що з’явився того дня, коли ви вставили команду. Якщо вимкнути фоновий елемент, він більше не запускатиметься, але не видалиться.

3Перевірка 2: агенти й демони запуску

Програми, які запускаються самі, залишають невеликий файл в одній із трьох папок. Ця команда покаже їх, нові згори:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Більшість назв мають вигляд com.company.app.plist. Шукайте файли з датою близько того дня, коли ви вставили команду, назви під Apple (com.apple…) у вашій власній папці Library або назви з випадкових літер. Щоб побачити, яку програму запускає файл, замініть NAME на його назву:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Перевірка 3: файли запуску оболонки

Оболонка виконує ці файли щоразу, коли відкривається Термінал, тож стилер може сховати там рядок. Ця команда покаже, коли кожен із них змінювався востаннє:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Якщо якийсь змінився того дня, коли ви його не редагували, перегляньте його останні рядки:

tail -n 20 ~/.zshrc

Рядки, яких ви не писали і в яких є curl, base64, osascript або вебадреса, — це знахідка.

5Перевірка 4: що ви вставляли

Термінал зберігає рядки, які ви запускали. Ця команда покаже останні 30, що щось завантажували або декодували:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Перевірка 5: програми, які macOS не прийняла б

Gatekeeper у macOS може показати, які програми в папці «Програми» він не прийняв би (не підписані ідентифікованим розробником або не перевірені Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Деякі старі програми й програми з відкритим кодом потрапляють сюди, і з ними все гаразд. Знахідка — це програма, встановлення якої ви не пам’ятаєте. Так само на око перевірте папку «Завантаження», нові згори:

ls -lt ~/Downloads | head -n 20

7Перевірка 6: віддалений доступ і профілі

Відкрийте Системні параметри → Загальні → Спільний доступ. Спільний екран, Віддалений вхід, Віддалене керування і Спільний доступ до файлів мають бути вимкнені, якщо ви самі ними не користуєтеся.

Потім відкрийте Системні параметри → Загальні → Керування пристроями (у старіших версіях macOS: Приватність і безпека → Профілі). Профіль, якого ви не встановлювали, може пускати ваш трафік через чужий сервер або довіряти чужим сертифікатам. Видаляйте його, лише якщо впевнені, що він не від вашої школи чи роботодавця.

8Перевірка 7: хто виходить в інтернет

Ця команда рахує відкриті інтернет-з’єднання за програмами:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Браузер, Пошта, Повідомлення та iCloud — це нормально. Незнайома назва або програма для запуску скриптів на кшталт osascript, python3 чи curl з відкритими з’єднаннями — привід придивитися. Щоб побачити програми, які чекають на підключення з інших комп’ютерів:

lsof -nP -iTCP -sTCP:LISTEN

9Якщо ви щось знайшли

1. Відключіться від Wi-Fi і витягніть мережевий кабель, якщо він підключений.
2. З іншого пристрою змініть паролі: спершу від облікового запису Apple, пошти й банку. Завершіть усі інші сеанси та ввімкніть двофакторну автентифікацію.
3. Вважайте втраченим кожен криптогаманець, фраза відновлення чи ключі якого були на цьому Mac. Створіть новий гаманець на чистому пристрої й перенесіть туди кошти. Стилер уже може мати фразу, а переказ не можна скасувати. Див. безпека криптогаманців.
4. Видаліть знайдене: завершіть його в Моніторингу системи, видаліть файл агента запуску й саму програму, перезапустіть Mac. Якщо не впевнені, що знайшли все, зробіть резервну копію документів (не програм) і зітріть Mac: Системні параметри → Загальні → Перенесення або скидання → Стерти весь вміст і параметри.
5. Бачили повідомлення, що шкідливу програму заблоковано й переміщено в Смітник? Це XProtect, вбудований захист Mac, видалив файл, який розпізнав. Добре, але перевірте, звідки прийшов файл: той самий сайт міг надіслати щось іще. Див. що робить вбудований захист Mac.

10Перш ніж знову вставляти щось у Термінал

• Вводьте адресу сайту самі; не переходьте за рекламою чи посиланням із чату.
• Читайте рядок, перш ніж вставляти. | sh, | bash, base64 і osascript означають, що він щось запускає.
• Жодне справжнє виправлення сайту, капчі чи «зламаного» завантаження не потребує Термінала.
• Якщо рядок просить пароль, зупиніться й запитайте себе, навіщо він йому.

11Запитання

Мій Mac зламали. Що робити насамперед?

Відключіть його від інтернету, потім з іншого пристрою змініть паролі від облікового запису Apple, пошти й банку та завершіть усі інші сеанси. Криптовалюту, фраза відновлення якої була на Mac, перенесіть на новий гаманець, створений на чистому пристрої. Потім виконайте перевірки з цієї сторінки або зітріть Mac.

Як зрозуміти, чи зламано мій Mac просто зараз?

Шукайте незнайомі елементи входу чи агенти запуску, файли оболонки, яких ви не змінювали, програми, які macOS не прийняла б, і невідомі програми з інтернет-з’єднаннями. Запити пароля, яких ви не викликали, і налаштування браузера, що змінилися самі, — теж ознаки.

macOS повідомила, що шкідливу програму заблоковано й переміщено в Смітник. Мені нічого не загрожує?

Це означає, що XProtect розпізнав відомий шкідливий файл і видалив його до запуску. Перевірте, звідки прийшов файл, і виконайте перевірки вище: той самий сайт чи лист могли доставити те, чого XProtect не розпізнав.

Чи безпечно вставляти команду в Термінал?

Лише якщо ви самі ввели адресу сайту й знаєте, що робить рядок. Ніколи не вставляйте рядок із реклами, спливного вікна, сторінки «підтвердьте, що ви людина» чи чату. Якщо він передає завантаження в sh або bash, декодує base64 чи просить пароль, зупиніться.

Чи потрібно стирати Mac?

Якщо ви не можете розпізнати й видалити знайдене або на Mac зберігалися фрази відновлення чи ключі на велику суму, надійніше його стерти. Зробіть резервну копію документів, а не програм, і увійдіть у все заново.