Terminal میں کمانڈ پیسٹ کی؟ ابھی اپنا Mac چیک کریں۔

1پیسٹ کی گئی لائن کیا کرتی ہے

2025 کے آخر سے، AI ٹولز کے جعلی پیجز اور "اپنا Mac صاف کریں" والے سرچ اشتہارات Mac صارفین سے Terminal کھول کر ایک لائن پیسٹ کرنے کو کہہ رہے ہیں۔ Sophos نے نومبر 2025 اور فروری 2026 کے درمیان تین مہمات کا سراغ لگایا جنہوں نے اسی طریقے سے MacSync اسٹیلر انسٹال کیا: لائن ایک اسکرپٹ ڈاؤن لوڈ کرتی ہے، آپ کے Mac کا پاس ورڈ مانگتی ہے، پھر کی چین کا ڈیٹا، محفوظ لاگ اِنز اور کرپٹو والیٹ کی ریکوری فریزز لے جاتی ہے (The Hacker News، 16 مارچ 2026)۔ Microsoft بھی Atomic (AMOS)، MacSync اور DigitStealer اسٹیلرز کے لیے یہی جال رپورٹ کرتا ہے، جن تک اکثر سرچ اشتہارات کے ذریعے پہنچا جاتا ہے (Microsoft کی رپورٹ پر Security Affairs، 4 فروری 2026)۔

آپ کو وارننگ کیوں نہیں ملی: macOS انٹرنیٹ سے ڈاؤن لوڈ کیا گیا سافٹ ویئر پہلی بار کھولنے سے پہلے پوچھتا ہے (Apple Platform Security)، اور اسے ایک quarantine نشان سے پتا چلتا ہے کہ فائل انٹرنیٹ سے آئی ہے، جو براؤزرز لگاتے ہیں۔ Terminal میں curl سے لائی گئی فائلوں پر شاید یہ نشان نہ لگے (MITRE ATT&CK T1553.001)، اور جو اسکرپٹ سیدھا bash میں بھیجا جائے وہ ایپ کے طور پر کھلتا ہی نہیں، اس لیے وہ پیغام کبھی ظاہر نہیں ہوتا۔

یہ لائنیں عموماً ان میں سے کسی ایک جیسی ہوتی ہیں، بیچ میں ایک ویب ایڈریس کے ساتھ:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2چیک 1: لاگ اِن آئٹمز اور بیک گراؤنڈ ایپس

System Settings → General → Login Items & Extensions کھولیں (macOS 14 اور اس سے پہلے: Login Items)۔ Open at Login (لاگ اِن پر کھولیں) اور Allow in the Background (بیک گراؤنڈ میں اجازت) دیکھیں۔

جو کچھ آپ نہیں پہچانتے وہ قریب سے دیکھنے کے لائق ہے، خاص طور پر عجیب نام والا آئٹم، جس کا ڈویلپر نہ دکھایا گیا ہو، یا جو اسی دن ظاہر ہوا ہو جس دن آپ نے کمانڈ پیسٹ کی۔ کسی بیک گراؤنڈ آئٹم کو بند کرنے سے وہ دوبارہ شروع نہیں ہوتا، لیکن ڈیلیٹ بھی نہیں ہوتا۔

3چیک 2: لانچ ایجنٹس اور ڈیمنز

جو پروگرام خود بخود شروع ہوتے ہیں وہ تین میں سے کسی ایک فولڈر میں ایک چھوٹی فائل چھوڑتے ہیں۔ یہ کمانڈ ان کی فہرست دیتی ہے، نئی پہلے:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

زیادہ تر نام com.company.app.plist جیسے ہوتے ہیں۔ ایسی فائلیں دیکھیں جن کی تاریخ اس دن کے آس پاس ہو جب آپ نے کمانڈ پیسٹ کی، آپ کے اپنے Library فولڈر میں Apple کی نقل کرنے والے نام (com.apple…)، یا بے ترتیب حروف سے بنے نام۔ یہ دیکھنے کے لیے کہ کوئی فائل کون سا پروگرام شروع کرتی ہے، NAME کی جگہ اس کا نام لکھیں:

plutil -p ~/Library/LaunchAgents/NAME.plist

4چیک 3: آپ کی شیل اسٹارٹ اپ فائلیں

ہر بار Terminal کھلنے پر آپ کا شیل یہ فائلیں چلاتا ہے، اس لیے کوئی اسٹیلر ان میں ایک لائن چھپا سکتا ہے۔ یہ دکھاتا ہے کہ ہر فائل آخری بار کب بدلی:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

اگر کوئی فائل ایسے دن بدلی جب آپ کو اسے ایڈٹ کرنا یاد نہیں، تو اس کی آخری لائنیں دیکھیں:

tail -n 20 ~/.zshrc

ایسی لائنیں جو آپ نے نہیں لکھیں اور جن میں curl، base64، osascript یا کوئی ویب ایڈریس ہو، اہم نشانی ہیں۔

5چیک 4: آپ نے کیا پیسٹ کیا

Terminal آپ کی چلائی ہوئی لائنیں محفوظ رکھتا ہے۔ یہ آخری 30 لائنیں دکھاتا ہے جنہوں نے کچھ ڈاؤن لوڈ یا ڈی کوڈ کیا:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6چیک 5: وہ ایپس جنہیں macOS قبول نہیں کرتا

macOS کا Gatekeeper بتا سکتا ہے کہ آپ کے Applications فولڈر کی کون سی ایپس وہ قبول نہیں کرے گا (کسی شناخت شدہ ڈویلپر کی دستخط شدہ نہیں، یا Apple کی جانچی ہوئی نہیں):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

کچھ پرانی یا اوپن سورس ایپس یہاں نظر آتی ہیں اور ٹھیک ہوتی ہیں۔ اصل نشانی وہ ایپ ہے جسے انسٹال کرنا آپ کو یاد نہیں۔ یہی کام اپنے Downloads فولڈر کے لیے آنکھ سے کریں، نئی پہلے:

ls -lt ~/Downloads | head -n 20

7چیک 6: ریموٹ رسائی اور پروفائلز

System Settings → General → Sharing کھولیں۔ Screen Sharing، Remote Login، Remote Management اور File Sharing بند ہونے چاہییں، جب تک آپ خود انہیں استعمال نہ کرتے ہوں۔

پھر System Settings → General → Device Management کھولیں (پرانے macOS میں: Privacy & Security → Profiles)۔ جو پروفائل آپ نے انسٹال نہیں کیا وہ آپ کی براؤزنگ کسی اور کے سرور سے گزار سکتا ہے یا اس کے سرٹیفکیٹس پر بھروسہ کروا سکتا ہے۔ اسے صرف تب ہٹائیں جب آپ کو یقین ہو کہ یہ آپ کے اسکول یا آجر کی طرف سے نہیں۔

8چیک 7: انٹرنیٹ سے کون بات کر رہا ہے

یہ ہر پروگرام کے کھلے انٹرنیٹ کنکشن گنتا ہے:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

آپ کا براؤزر، Mail، Messages اور iCloud عام ہیں۔ کوئی نامعلوم نام، یا osascript، python3 یا curl جیسا اسکرپٹ چلانے والا پروگرام جو کنکشن تھامے ہو، دیکھنے کے لائق ہے۔ دوسرے کمپیوٹرز سے کنکشن کا انتظار کرنے والے پروگرام دیکھنے کے لیے:

lsof -nP -iTCP -sTCP:LISTEN

9اگر کچھ ملے

1. Wi-Fi سے منقطع ہوں اور نیٹ ورک کیبل نکال دیں۔
2. کسی دوسرے آلے سے سب سے پہلے اپنے Apple Account، ای میل اور بینک کے پاس ورڈ بدلیں، باقی تمام سیشنز سے سائن آؤٹ کریں، اور ٹو فیکٹر توثیق آن کریں۔
3. ہر وہ کرپٹو والیٹ جس کی ریکوری فریز یا کیز اس Mac پر تھیں، ضائع شدہ سمجھیں۔ کسی صاف آلے پر نیا والیٹ بنائیں اور فنڈز منتقل کریں۔ ممکن ہے اسٹیلر کے پاس فریز پہلے ہی ہو، اور ٹرانسفر واپس نہیں ہو سکتا۔ دیکھیں کرپٹو والیٹ کی حفاظت۔
4. جو ملا اسے ہٹائیں: Activity Monitor میں اسے بند کریں، لانچ ایجنٹ فائل اور ایپ ڈیلیٹ کریں، اور ری اسٹارٹ کریں۔ اگر یقین نہیں کہ سب کچھ مل گیا ہے، تو اپنی دستاویزات کا بیک اپ لیں (ایپس کا نہیں) اور Mac مٹا دیں: System Settings → General → Transfer or Reset → Erase All Content and Settings۔
5. الرٹ دیکھا کہ میلویئر بلاک کر کے Trash میں منتقل کر دیا گیا؟ یہ XProtect ہے، Mac کا بلٹ اِن تحفظ، جو ایک پہچانی ہوئی فائل ہٹا رہا ہے۔ یہ اچھا ہے، لیکن دیکھیں فائل کہاں سے آئی: ممکن ہے اسی سائٹ نے اور بھی کچھ بھیجا ہو۔ دیکھیں Mac کا بلٹ اِن تحفظ کیا کرتا ہے۔

10Terminal میں دوبارہ کچھ پیسٹ کرنے سے پہلے

• سائٹ کا ایڈریس خود ٹائپ کریں؛ کسی اشتہار یا چیٹ کے لنک پر نہ جائیں۔
• پیسٹ کرنے سے پہلے لائن پڑھیں۔ | sh، | bash، base64 اور osascript کا مطلب ہے کہ یہ کچھ چلاتی ہے۔
• کسی ویب سائٹ، captcha یا "خراب" ڈاؤن لوڈ کے کسی اصل حل کو Terminal کی ضرورت نہیں ہوتی۔
• اگر کوئی لائن آپ کا پاس ورڈ مانگے تو رکیں اور خود سے پوچھیں کہ یہ کس لیے ہے۔

11سوالات

میرا Mac ہیک ہو گیا۔ سب سے پہلے کیا کروں؟

اسے انٹرنیٹ سے منقطع کریں، پھر کسی دوسرے آلے سے اپنے Apple Account، ای میل اور بینک کے پاس ورڈ بدلیں اور باقی تمام سیشنز سے سائن آؤٹ کریں۔ جس کرپٹو کی ریکوری فریز Mac پر تھی اسے کسی صاف آلے پر بنے نئے والیٹ میں منتقل کریں۔ پھر اس پیج کے چیکس کریں یا Mac مٹا دیں۔

کیسے پتا کروں کہ میرا Mac اس وقت ہیک ہے؟

ایسے لاگ اِن آئٹمز یا لانچ ایجنٹس دیکھیں جنہیں آپ نہیں پہچانتے، شیل فائلیں جو آپ نے نہیں بدلیں، وہ ایپس جنہیں macOS قبول نہیں کرتا، اور انٹرنیٹ کنکشن رکھنے والے نامعلوم پروگرام۔ پاس ورڈ کے ایسے مطالبے جو آپ کی وجہ سے نہیں آئے اور خود بخود بدلنے والی براؤزر سیٹنگز بھی علامات ہیں۔

macOS نے کہا کہ میلویئر بلاک کر کے Trash میں منتقل کر دیا گیا۔ کیا میں محفوظ ہوں؟

اس کا مطلب ہے کہ XProtect نے ایک معلوم نقصان دہ فائل پہچان کر اسے چلنے سے پہلے ہٹا دیا۔ دیکھیں فائل کہاں سے آئی اور اوپر والے چیکس کریں: ممکن ہے اسی سائٹ یا ای میل نے کچھ ایسا بھی پہنچایا ہو جسے XProtect نہیں پہچانتا۔

کیا Terminal میں کمانڈ پیسٹ کرنا محفوظ ہے؟

صرف تب جب آپ نے سائٹ کا ایڈریس خود ٹائپ کیا ہو اور جانتے ہوں کہ لائن کیا کرتی ہے۔ کسی اشتہار، پاپ اپ، "تصدیق کریں کہ آپ انسان ہیں" پیج یا چیٹ سے کبھی کوئی لائن پیسٹ نہ کریں۔ اگر وہ کسی ڈاؤن لوڈ کو sh یا bash میں بھیجتی ہے، base64 ڈی کوڈ کرتی ہے یا آپ کا پاس ورڈ مانگتی ہے، تو رک جائیں۔

کیا مجھے اپنا Mac مٹانا ہوگا؟

اگر آپ جو ملا اسے پہچان کر ہٹا نہیں سکتے، یا Mac پر قیمتی ریکوری فریزز یا کیز تھیں، تو مٹانا محفوظ انتخاب ہے۔ اپنی دستاویزات کا بیک اپ لیں، ایپس کا نہیں، اور شروع سے دوبارہ سائن اِن کریں۔