别等钱包被盗才检查电脑：15 分钟排查 Macbook 权限、后门与可疑进程
对此，Web3 安全研究员 Ash 撰写了这篇极具实操价值的轻量级自检指南。无需任何深奥的极客知识，仅需 15 分钟对照系统设置与基础只读命令，即可系统性排查屏幕监控、恶意设备管理配置、后门开机启动项以及异常挖矿进程，且全程仅执行纯信息读取、不修改电脑任何设置。
如今的互联网到处都是雷区，如果你身处加密行业更是如此，因为针对加密资产的黑客攻击回报极其诱人。不妨抽点时间为你的 Macbook 做一次全面审计。下文列出的所有操作都仅仅是读取系统信息，绝不会对你的电脑配置产生任何更改。
顺便提醒一句：请绝对不要直接复制并粘贴来自陌生人（包括我在内）给出的任何终端命令！请先将每条命令发给你自己的 AI 助手，弄清楚它具体的含义和作用，然后再放手执行。
系统设置排查
按下快捷键 Command (⌘) + 空格键，打开 Macbook 的“系统设置”（System Settings）。
• 排查谁能监控你的屏幕、文件和键盘输入：前往“隐私与安全性”（Privacy & Security），逐项检查“辅助功能”（Accessibility）、“屏幕录制与系统音频录制”（Screen Recording）、“完全磁盘访问权限”（Full Disk Access）以及“输入监控”（Input Monitoring）。果断移除任何你不认识或不需要的应用程序。臭名昭著的钱包盗币木马和伪装成“视频会议软件”的钓鱼恶意程序，通常都会诱导索取这些危险权限。
• 排查远程访问后门：前往“通用”（General）>“共享”（Sharing）。确认“屏幕共享”（Screen Sharing）与“远程登录”（Remote Login）均处于完全关闭状态。
• 排查设备描述文件与移动设备管理：前往“通用”（General）>“设备管理”（Device Management）。在个人私有 Macbook 上，此列表应当完全为空。某些流氓恶意软件会在此处暗中安装描述文件，以此控制并监控整台电脑。
• 排查开机登录自启动项与后台扩展：前往“通用”（General）>“登录项与扩展”（Login Items & Extensions）。仔细审查“登录时打开”（Open at Login）列表以及“允许在后台”（Allow in the Background）的应用，随手关闭任何你不认识的程序。
• 排查浏览器恶意扩展插件：在 Chrome 浏览器地址栏中输入 chrome://extensions 并回车。逐一审查已安装的所有插件，坚决卸载任何可疑或未曾主动安装的扩展。
• 排查陌生应用程序：打开访达（Finder），进入“应用程序”（Applications）文件夹，按“添加日期”（Date Added）降序排列，仔细检查近期新出现的陌生应用。
终端命令行排查
终端（Terminal）是 macOS 自带的原生应用程序，允许用户通过基于文本的命令行界面（CLI）直接与操作系统底层通信。
打开方式：按下 Cmd + 空格键唤出聚焦搜索，输入 Terminal（或“终端”），按下回车键。界面会弹出一个包含文本提示符的小窗口。
使用方法：每次复制一行命令，在终端中使用 Cmd + V 粘贴，按回车键执行，并观察屏幕输出的结果。
再次郑重重申：切勿轻信并盲目粘贴陌生人提供的终端命令（即使是我也不例外）。请务必先将命令发给你信任的 AI 助手，让它为你通俗解释该命令的具体功能后再行执行。
排查设备是否被外部控制
在终端中运行以下只读检测命令：
sw_vers -productVersion; profiles status -type enrollment排查判断标准：对于个人自用的 Macbook，输出结果中所有包含“Enrolled”（已注册管理）的行，其状态都必须明确显示为 No。
原生安全防护状态检查
在终端中运行以下只读检测命令，快速检查系统核心安全机制：
fdesetup status; /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate; spctl --status; csrutil status; softwareupdate -l排查判断标准：理想的正常输出结果应当呈现如下安全状态：FileVault（全盘加密）显示为 FileVault is On；防火墙（Firewall）显示为 Firewall is enabled；应用安全评估机制显示为 assessments enabled；系统完整性保护显示为 System Integrity Protection status: enabled；且系统不存在悬而未决的待安装紧急安全补丁。
开机自启动守护项排查
恶意木马最喜欢潜伏隐藏在开机启动守护目录中。在终端中执行以下命令列出所有自启动配置文件：
ls ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons排查判断标准：每个启动项配置文件的命名通常都以其开发厂商的前缀开头（例如 com.google.xxx）。如果你在列表中看到了任何自己完全不认识或拼写怪异的文件名，请务必单独复制并在搜索引擎中核查其来源与归属。
CPU 占用与异常挖矿排查
暗中消耗算力的挖矿木马通常会在 CPU 资源占用榜中现形。在终端中运行以下命令查看当前最消耗 CPU 的前 15 个进程：
ps -Ao %cpu,comm -r | head -15排查判断标准：在正常情况下，名列前茅的通常是 WindowServer（系统图形渲染服务）、Chrome 浏览器以及你正在主动运行的大型应用。如果你在榜单顶部看到任何名字陌生且疯狂吞噬 CPU 算力的未知进程，务必警惕并进行深度排查。
上述检查虽然无法百分之百捕获所有极其隐蔽的高级持续性威胁（APT），但它已经足以阻击并清除市面上绝大多数常见针对加密用户的投机性恶意软件。
