# Claude Code: проверка мака на шпионские программы за 3 минуты

Проверишь свой мак через Claude Code: он выведет автозапуск, фоновые процессы, расширения браузера и исходящие соединения, а ты удалишь всё незнакомое. Ниже - точный промпт, как читать ответ, как отличить поддельное расширение и в каком порядке менять пароли с телефона.

// Шаг 1

## Поставь и открой Claude Code

- 1 «Открой Терминал» — Cmd + Пробел, набери «Терминал», Enter.
- 2 «Поставь Claude Code» — Вставь команду установки ниже. Если Claude Code уже стоит - пропускай. Нужна подписка Pro, Max, Team или Enterprise, на бесплатном тарифе Claude Code нет.
- 3 «Запусти из домашней папки» — Открой новое окно Терминала и набери claude. При первом запуске войди в аккаунт через браузер.

```
curl -fsSL https://claude.ai/install.sh | bash
```

_Установка Claude Code на мак_

```
claude --version
cd ~
claude
```

_Проверка и запуск_

[Официальная инструкция по установке Claude Code](https://code.claude.com/docs/en/setup)

// Шаг 2

## Точный промпт для проверки

Вставь промпт целиком в Claude Code. Он только смотрит и ничего не удаляет сам - каждое удаление ты подтверждаешь отдельно. На запросы разрешения на команды отвечай «да»: все команды тут только читают систему.

```
Проверь этот Mac на шпионские программы и закладки. Ничего не удаляй и не меняй - только собери и покажи. Выведи четыре раздела:

1. Автозапуск: объекты входа и фоновые объекты (sfltool dumpbtm), все файлы в ~/Library/LaunchAgents, /Library/LaunchAgents, /Library/LaunchDaemons, а также установленные профили конфигурации (profiles list).
2. Фоновые процессы: всё, что сейчас запущено не от Apple (ps aux), с путём к файлу и подписью разработчика (codesign -dv).
3. Расширения браузера: для Chrome, Brave, Edge, Arc и других Chromium-браузеров - все расширения во всех профилях (папки Extensions внутри ~/Library/Application Support/<браузер>/), название из manifest.json, ID, версия и список разрешений. Для Safari - расширения из настроек.
4. Исходящие соединения: все установленные соединения (lsof -i -P -n | grep ESTABLISHED) - какой процесс, на какой IP и порт, и чей это адрес (страна, хостинг).

В конце сведи всё в одну таблицу: название, путь, разработчик, подписано ли Apple или известной компанией, и вердикт - «норма», «проверить», «подозрительно». Подозрительным считай: неподписанные файлы, файлы со случайными именами, процессы из /tmp, /Users/Shared или скрытых папок, расширения с правом читать данные на всех сайтах, соединения на облачные IP без понятной программы. Для каждого подозрительного пункта напиши, как его удалить, но не удаляй, пока я не скажу.
```

_Промпт для Claude Code_

// Шаг 3

## Как прочитать ответ и что удалять первым

- 1 «Сначала - «подозрительно»» — Начинай с пунктов, у которых нет подписи или разработчик неизвестен. Если не узнаёшь название - спроси Claude Code: «что это за файл и откуда он мог взяться?»
- 2 «Сверь автозапуск и соединения» — Самое опасное - когда один и тот же процесс сидит в автозапуске и при этом шлёт данные на внешний сервер. Такие пункты удаляешь первыми.
- 3 «Удаляй через Claude Code» — Напиши: «удали пункт N: выгрузи его из launchctl, удали файл и перезапусти проверку». После удаления снова спроси исходящие соединения - подозрительного адреса быть не должно.
- 4 «Проверь объекты входа руками» — Меню Apple → Системные настройки → Основные → Объекты входа и расширения. Убери из «Открывать при входе» всё лишнее кнопкой «−» и выключи фоновую активность незнакомых программ.
- 5 «Удали расширения» — В Chrome открой chrome://extensions и удали всё, что не ставил сам или не узнаёшь. Сомневаешься - удаляй: нужное потом поставишь заново из магазина.

[Справка Apple: объекты входа и расширения](https://support.apple.com/ru-ru/guide/mac-help/mtusr003/mac)

врезка `// Что не трогать`: текст «Файлы с подписью Apple (com.apple.*) и программы, которые ты точно ставил сам - Zoom, Telegram, Dropbox и так далее - не удаляй. Задача - найти чужое, а не вычистить всё подряд.»

// Шаг 4

## Как отличить поддельное расширение Chrome от настоящего

В истории из ролика вход был через поддельный Notion Web Clipper из рекламы в Google. У настоящего больше 400 тысяч пользователей, у подделки было 12 отзывов. Перед установкой любого расширения проверяй три вещи.

- [ ] Ставить расширения только из Chrome Web Store или по ссылке с официального сайта сервиса, а не из рекламы в поиске
- [ ] Проверить число пользователей: у популярных сервисов это сотни тысяч и миллионы, а не десятки
- [ ] Проверить отзывы: десяток отзывов у «известного» расширения - красный флаг
- [ ] Проверить разработчика: у Notion это Notion Labs, Inc., у Google - Google, а не случайное имя или почта на gmail
- [ ] Посмотреть разрешения: «читать и изменять все данные на всех сайтах» без понятной причины - не ставить

[Настоящий Notion Web Clipper в Chrome Web Store](https://chromewebstore.google.com/detail/notion-web-clipper/knheggckgoiihginacbkhaalnibhilkk)

[Официальная страница Notion Web Clipper](https://www.notion.com/web-clipper)

// Шаг 5

## Пароли и коды двухфакторки - с телефона и по порядку

врезка `// Почему с телефона`: текст «Если на маке сидит закладка, она видит всё, что ты там вводишь, и забирает куки входа. Сменишь пароль с мака - она получит и новый. Поэтому всё меняешь с телефона и только после того, как почистил мак.»

- 1 «Почта» — Сначала Gmail или другая основная почта: через неё восстанавливаются все остальные аккаунты. Новый пароль, затем «Выйти на всех устройствах».
- 2 «Новые резервные коды» — В аккаунте Google: Безопасность → Двухэтапная аутентификация → Резервные коды → создать новые. Старые коды сразу перестают работать. То же самое - в каждом сервисе, где у тебя есть резервные коды.
- 3 «Apple ID и менеджер паролей» — Дальше - Apple ID и менеджер паролей, если пароли хранились в браузере или в нём.
- 4 «Деньги» — Биржи, банки, платёжки: новый пароль, выход со всех сессий, проверка привязанных устройств и адресов вывода.
- 5 «Криптокошелёк» — Если на маке был MetaMask или другой кошелёк - менять пароль мало: ключи могли уже уйти. Создай новый кошелёк с новой сид-фразой на чистом устройстве и переведи туда всё.
- 6 «Соцсети и остальное» — X, Telegram, Instagram и всё прочее - новый пароль и завершение чужих сессий в настройках безопасности.

[Справка Google: резервные коды](https://support.google.com/accounts/answer/1187538?hl=ru)

// Шаг 6

## Отключи синхронизацию расширений в общем аккаунте Chrome

В ролике у двоих был один аккаунт Chrome, и синхронизация сама поставила подделку на второй мак. Если аккаунтом пользуешься не только ты или он открыт на нескольких компьютерах - выключи синхронизацию расширений.

- 1 «Открой настройки аккаунта» — Три точки справа сверху → Настройки → Я и Google → синхронизация / управление данными аккаунта.
- 2 «Выключи расширения» — Переключись на выбор данных вручную и выключи пункт «Расширения». Закладки и остальное может синхронизироваться дальше.
- 3 «Почисти второй компьютер» — На каждом маке, где открыт этот аккаунт Chrome, пройди шаги 2-4 этого чек-листа: подделка могла приехать и туда.
- 4 «Разведи аккаунты» — Лучше всего - у каждого человека свой профиль Chrome и свой аккаунт Google.

[Справка Chrome: что синхронизировать](https://support.google.com/chrome/answer/165139?hl=ru)

---

// Итог

## Проверь себя

- [ ] Поставить Claude Code и запустить claude из домашней папки
- [ ] Вставить промпт и получить таблицу: автозапуск, процессы, расширения, соединения
- [ ] Удалить всё «подозрительное» и незнакомое через Claude Code
- [ ] Убрать лишнее в Системные настройки → Основные → Объекты входа и расширения
- [ ] Удалить незнакомые расширения в chrome://extensions
- [ ] Повторить проверку соединений - подозрительных адресов не осталось
- [ ] С телефона сменить пароль почты и выйти на всех устройствах
- [ ] Создать новые резервные коды двухфакторки
- [ ] С телефона сменить пароли Apple ID, бирж, банков и соцсетей
- [ ] Перевести крипту на новый кошелёк с новой сид-фразой, если на маке был кошелёк
- [ ] Выключить синхронизацию расширений в общем аккаунте Chrome и почистить второй компьютер

---

Источник: https://localhost:3000/m/claude-code-proverka-maka-na-shpionskie-programmy-za-3-minuty