Не ждите, пока украдут кошелёк, чтобы проверить компьютер: проверка прав доступа, бэкдоров и подозрительных процессов на MacBook за 15 минут

Автор: Ash (@ahboyash, исследователь безопасности в Memento Research)

Подготовка материала: TechFlow

Введение от TechFlow: После масштабной утечки 6,3 млрд долларов во время взлома Binance ситуация, при которой злоумышленники получили доступ к системе подписей для вывода средств всего лишь путем взлома личного ноутбука одного инженера по эксплуатации, вновь прозвучала как предупреждение для всей индустрии. Для каждого участника рынка Web3 ваш персональный компьютер — это не просто устройство для серфинга в сети, а основной физический барьер, хранящий сид-фразы, приватные ключи и обеспечивающий управление активами. Если же на него попадет троян, замаскированный под поддельное приложение для видеоконференций, ненастоящие расширения или вредоносные профили настроек, вся онлайн-защита рухнет в считанные секунды.

Исследователь кибербезопасности в сфере Web3 Эш составил данное практическое руководство по быстрой проверке системы. Не требуется никаких сложных технических знаний: достаточно 15 минут для сопоставления настроек системы и базовых команд только для чтения, чтобы систематически проверить наличие скрытого мониторинга экрана, вредоносных настроек управления устройствами, бэкдоров в автозагрузке и подозрительных процессов майнинга. Весь процесс выполняется исключительно через чтение информации без внесения каких-либо изменений в настройки вашего компьютера.

Современный интернет усыпан минными полями, особенно если вы работаете в криптоиндустрии, поскольку атаки на криптоактивы приносят хакерам весьма внушительную прибыль. Рекомендуем выделить время для полной аудиторской проверки вашего MacBook. Все приведенные ниже действия направлены исключительно на чтение системной информации и никоим образом не изменят конфигурацию вашего компьютера.

Кроме того, помните: ни при каких обстоятельствах не копируйте и не вставляйте напрямую никакие команды терминала от незнакомцев (включая автора)! Сначала отправьте каждую команду своему личному AI-ассистенту, чтобы понять ее точное назначение и функцию, и лишь затем запускайте её.

Проверка настроек системы

Нажмите сочетание клавиш Command (⌘) + пробел, чтобы открыть «Системные настройки» (System Settings) на MacBook.

• Проверьте, кто может отслеживать ваш экран, файлы и ввод данных с клавиатуры: перейдите в раздел «Конфиденциальность и безопасность» (Privacy & Security) и逐一 проверьте пункты «Специальные возможности» (Accessibility), «Запись экрана» (Screen Recording), «Полный доступ к диску» (Full Disk Access) и «Мониторинг ввода» (Input Monitoring). Без колебаний удалите любые приложения, которые вам незнакомы или не нужны. Известные трояны для кражи криптовалют и фишинговые вредоносные программы, маскирующиеся под «ПО для видеоконференций», обычно склоняют пользователей к выдаче этих опасных разрешений.

• Проверьте бэкдоры для удаленного доступа: перейдите в «Основные» (General) > «Обмен» (Sharing). Убедитесь, что опции «Доступ к экрану» (Screen Sharing) и «Удаленный вход» (Remote Login) полностью отключены.

• Проверьте файлы профиля и управление мобильными устройствами: перейдите в «Основные» (General) > «Управление устройствами» (Device Management). На личном компьютере MacBook этот список должен быть совершенно пустым. Некоторые недобросовестные программы могут незаметно устанавливать здесь файлы профилей для контроля и мониторинга всего компьютера.

• Проверьте автозагрузку при входе и фоновые расширения: перейдите в «Основные» (General) > «Элементы входа и расширения» (Login Items & Extensions). Внимательно изучите списки «Открывать при входе» (Open at Login) и «Разрешить работать в фоне» (Allow in the Background), отключайте любые неизвестные программы.

• Проверьте вредоносные расширения в браузере: в адресной строке браузера Chrome введите код chrome://extensions и нажмите Enter. Оцените каждое установленное расширение, решительно удаляя все подозрительные или те, которые вы не устанавливали самостоятельно.

• Проверьте неизвестные приложения: откройте Finder, перейдите в папку «Приложения» (Applications), отсортируйте их по дате добавления (Date Added) по убыванию и внимательно осмотрите недавно появившиеся незнакомые программы.

Проверка через командную строку терминала

Терминал (Terminal) — это встроенное приложение macOS, позволяющее пользователям напрямую взаимодействовать с ядром операционной системы через текстовую командную строку (CLI).

Как открыть: нажмите Cmd + пробел для вызова поиска Spotlight, введите Terminal (или «Терминал») и нажмите Enter. Откроется небольшое окно с текстовым приглашением.

Инструкция по использованию: каждый раз копируйте одну строку команды, вставляйте её в терминал через Cmd + V, нажимайте Enter для выполнения и наблюдайте за выводом результата на экране.

Еще раз настоятельно напоминаем: не доверяйте вслепую и не вставляйте подряд команды терминала от незнакомцев (в том числе от меня самого). Обязательно сначала отправьте команду своему надежному AI-помощнику, чтобы он простым языком объяснил её точное предназначение, и лишь после этого запускайте её.

Проверка на внешнее управление устройством

Запустите в терминале следующую диагностическую команду только для чтения:

sw_vers -productVersion; profiles status -type enrollment

Критерии оценки: На личном MacBook все строки вывода, содержащие слово «Enrolled» (зарегистрировано), должны явно указывать статус No.

Проверка состояния встроенных защитных механизмов

Запустите в терминале следующие диагностические команды только для чтения, чтобы быстро проверить основные защитные механизмы системы:

fdesetup status; /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate; spctl --status; csrutil status; softwareupdate -l

Критерии оценки: Идеальный корректный вывод должен отображать следующую безопасную конфигурацию: FileVault (полное шифрование диска) указывает на FileVault is On; межсетевой экран (Firewall) показывает Firewall is enabled; механизм оценки безопасности приложений отображает assessments enabled; защита целостности системы указывает на System Integrity Protection status: enabled; а также в системе отсутствуют необработанные обновления критических заплаток безопасности.

Проверка служб автозагрузки при старте

Вредоносным троянам наиболее часто удается скрываться в директориях автозагрузки служб. Выполните в терминале следующую команду для списка всех файлов автозагрузки:

ls ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Критерии оценки: Имена файлов конфигурации запуска обычно начинаются с префикса разработчика (например, com.google.xxx). Если в списке вы обнаружите совершенно незнакомые имена файлов или файлы с необычным написанием, обязательно скопируйте каждый такой файл отдельно и проверьте его происхождение и принадлежность через поисковую систему.

Проверка нагрузки CPU и подозрительного майнинга

Трояны, тайно потребляющие вычислительные мощности, обычно проявляют себя в рейтинге нагрузки на процессор. Запустите в терминале следующую команду для просмотра 15 процессов, потребляющих наибольшее количество ресурсов ЦП в данный момент:

ps -Ao %cpu,comm -r | head -15

Критерии оценки: В нормальных условиях на первых местах обычно находятся WindowServer (системная служба графического рендеринга), браузер Chrome и крупные приложения, которые вы активно используете. Если в верхней части списка вы увидите абсолютно незнакомые процессы, которые агрессивно поглощают ресурсы CPU, будьте начеку и проведите углубленную проверку.

Хотя приведенные выше проверки не способны со стопроцентной вероятностью выявить все крайне скрытые продвинутые постоянные угрозы (APT), их вполне достаточно, чтобы предотвратить и удалить подавляющее большинство распространенных спекулятивных вредоносных программ, нацеленных на криптопользователей.