在终端里粘贴了命令？现在就检查你的 Mac。

1粘贴的那行命令做了什么

自 2025 年底起，冒充 AI 工具的假页面和“清理你的 Mac”搜索广告一直在让 Mac 用户打开终端并粘贴一行命令。Sophos 追踪到 2025 年 11 月至 2026 年 2 月间的三起活动用这种方式安装了 MacSync 窃密程序：这行命令下载一个脚本，索要你的 Mac 密码，然后窃取钥匙串数据、已保存的登录信息和加密钱包助记词（The Hacker News，2026年3月16日）。Microsoft 报告称，Atomic（AMOS）、MacSync 和 DigitStealer 窃密程序也在用同样的诱饵，受害者常常是通过搜索广告找过来的（Security Affairs 关于 Microsoft 报告的报道，2026年2月4日）。

为什么没有任何警告：macOS 会在你首次打开从互联网下载的软件之前询问你（Apple 平台安全），它靠浏览器设置的隔离标记来判断文件来自互联网。在终端里用 curl 获取的文件可能没有这个标记（MITRE ATT&CK T1553.001），而直接通过管道交给 bash 的脚本根本不会作为应用打开，所以那个提示永远不会出现。

这类命令通常长这样，中间夹着一个网址：

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2检查 1：登录项和后台应用

打开系统设置 → 通用 → 登录项与扩展（macOS 14 及更早版本：登录项）。查看登录时打开和允许在后台。

任何你不认识的项目都值得细看，尤其是名字古怪、没有显示开发者，或在你粘贴命令那天出现的项目。关闭某个后台项目可以阻止它再次启动，但不会删除它。

3检查 2：启动代理和守护进程

自动启动的程序会在三个文件夹之一留下一个小文件。下面的命令按从新到旧列出它们：

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

大多数名字形如 com.company.app.plist。留意日期在你粘贴命令那天前后的文件、在你自己的资源库（Library）文件夹里冒充 Apple 的名字（com.apple…），以及由随机字母组成的名字。想知道某个文件会启动哪个程序，把 NAME 换成它的名字：

plutil -p ~/Library/LaunchAgents/NAME.plist

4检查 3：shell 启动文件

每次打开终端，shell 都会运行这些文件，所以窃密程序可以在里面藏一行命令。下面显示每个文件最后一次修改的时间：

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

如果某个文件在你不记得编辑过的日子被改过，看看它的最后几行：

tail -n 20 ~/.zshrc

出现你没写过、又提到 curl、base64、osascript 或网址的行，就是可疑发现。

5检查 4：你粘贴过的命令

终端会记录你运行过的命令。下面显示最近 30 条下载或解码过内容的命令：

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6检查 5：macOS 不接受的应用

macOS 的 Gatekeeper 可以告诉你“应用程序”文件夹里有哪些应用它不会接受（不是由身份可识别的开发者签名，或未经 Apple 检查）：

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

一些老旧或开源的应用会出现在这里，它们没有问题。你不记得安装过的应用才是可疑发现。再用肉眼按从新到旧检查一遍“下载”文件夹：

ls -lt ~/Downloads | head -n 20

7检查 6：远程访问和描述文件

打开系统设置 → 通用 → 共享。屏幕共享、远程登录、远程管理和文件共享应该都是关闭的，除非你自己在用。

然后打开系统设置 → 通用 → 设备管理（较早的 macOS：隐私与安全性 → 描述文件）。你没有安装过的描述文件可能让你的浏览流量经过别人的服务器，或让系统信任他们的证书。只有确定它不是你的学校或雇主安装的，才删除它。

8检查 7：哪些程序在联网

下面的命令按程序统计当前打开的网络连接：

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

浏览器、邮件、信息和 iCloud 是正常的。不认识的名字，或 osascript、python3、curl 这类脚本运行器占着连接，都值得细看。查看正在等待其他电脑连接的程序：

lsof -nP -iTCP -sTCP:LISTEN

9如果发现了问题

1. 断开网络：关闭 Wi-Fi，拔掉网线。
2. 用另一台设备先修改 Apple 账户、电子邮件和银行的密码，退出所有其他会话，并开启双重认证。
3. 凡是助记词或私钥曾存放在这台 Mac 上的加密钱包，都当作已经丢失。在干净的设备上新建钱包并转移资金。窃密程序可能已经拿到助记词，而转账无法撤销。参见加密钱包安全。
4. 删除你发现的东西：在活动监视器中退出它，删除启动代理文件和应用，然后重启。如果不确定是否全部找到，备份你的文稿（不要备份应用），然后抹掉 Mac：系统设置 → 通用 → 传输或还原 → 抹掉所有内容和设置。
5. 看到提示说恶意软件已被拦截并移到废纸篓？那是 Mac 内置的保护 XProtect 在删除它认出的文件。这是好事，但要查清文件从哪里来：同一个网站可能还发来了别的东西。参见 Mac 内置保护能做什么。

10下次往终端粘贴之前

• 自己输入网站地址，不要点广告或聊天里的链接。
• 粘贴前先读一遍。| sh、| bash、base64 和 osascript 表示它会运行某些东西。
• 网站、验证码或“坏掉的”下载，真正的修复都不需要用终端。
• 如果一行命令要你输入密码，停下来想想它要密码做什么。

11常见问题

我的 Mac 被入侵了，第一步该做什么？

先断开它的网络，再用另一台设备修改 Apple 账户、电子邮件和银行密码，并退出所有其他会话。把助记词曾存放在这台 Mac 上的加密货币转到在干净设备上新建的钱包。然后按本页做检查，或者抹掉 Mac。

怎样判断我的 Mac 现在是否被入侵？

留意你不认识的登录项或启动代理、你没改过的 shell 文件、macOS 不接受的应用，以及有网络连接的陌生程序。不是你触发的密码提示、自己变掉的浏览器设置，也都是迹象。

macOS 提示恶意软件已被拦截并移到废纸篓。我安全了吗？

这表示 XProtect 认出了一个已知的恶意文件，并在它运行前删除了它。查清文件来自哪里，并做上面的检查：同一个网站或邮件可能还带来了 XProtect 没认出的东西。

把命令粘贴进终端安全吗？

只有在你亲手输入了网站地址、并且知道这行命令做什么时才安全。永远不要粘贴来自广告、弹窗、“验证你是真人”页面或聊天的命令。如果它把下载内容通过管道交给 sh 或 bash、解码 base64，或者要你输入密码，就停下来。

我需要抹掉 Mac 吗？

如果你无法确认并删除发现的东西，或者这台 Mac 上存有价值很高的助记词或私钥，抹掉是稳妥的选择。备份你的文稿而不是应用，然后从头重新登录。