Чек-лист
кодовое словоШпион
Claude Code: проверка мака на шпионские программы за 3 минуты
Проверишь свой мак через Claude Code: он выведет автозапуск, фоновые процессы, расширения браузера и исходящие соединения, а ты удалишь всё незнакомое. Ниже - точный промпт, как читать ответ, как отличить поддельное расширение и в каком порядке менять пароли с телефона.
Содержание6 глав
Шаг 1
Поставь и открой Claude Code
01
Открой Терминал
Cmd + Пробел, набери «Терминал», Enter
02
Поставь Claude Code
Вставь команду установки ниже. Если Claude Code уже стоит - пропускай. Нужна подписка Pro, Max, Team или Enterprise, на бесплатном тарифе Claude Code нет
03
Запусти из домашней папки
Открой новое окно Терминала и набери claude. При первом запуске войди в аккаунт через браузер
curl -fsSL https://claude.ai/install.sh | bash
Установка Claude Code на мак
claude --version
cd ~
claude
Проверка и запуск
Официальная инструкция по установке Claude Code
Шаг 2
Вставь промпт целиком в Claude Code. Он только смотрит и ничего не удаляет сам - каждое удаление ты подтверждаешь отдельно. На запросы разрешения на команды отвечай «да»: все команды тут только читают систему.
Точный промпт для проверки8 строк · 1376 знаков
Проверь этот Mac на шпионские программы и закладки. Ничего не удаляй и не меняй - только собери и покажи. Выведи четыре раздела: 1. Автозапуск: объекты входа и фоновые объекты (sfltool dumpbtm), все файлы в ~/Library/LaunchAgents, /Library/LaunchAgents, /Library/LaunchDaemons, а также установленные профили конфигурации (profiles list). 2. Фоновые процессы: всё, что сейчас запущено не от Apple (ps aux), с путём к файлу и подписью разработчика (codesign -dv). 3. Расширения браузера: для Chrome, Brave, Edge, Arc и других Chromium-браузеров - все расширения во всех профилях (папки Extensions внутри ~/Library/Application Support/<браузер>/), название из manifest.json, ID, версия и список разрешений. Для Safari - расширения из настроек. 4. Исходящие соединения: все установленные соединения (lsof -i -P -n | grep ESTABLISHED) - какой процесс, на какой IP и порт, и чей это адрес (страна, хостинг). В конце сведи всё в одну таблицу: название, путь, разработчик, подписано ли Apple или известной компанией, и вердикт - «норма», «проверить», «подозрительно». Подозрительным считай: неподписанные файлы, файлы со случайными именами, процессы из /tmp, /Users/Shared или скрытых папок, расширения с правом читать данные на всех сайтах, соединения на облачные IP без понятной программы. Для каждого подозрительного пункта напиши, как его удалить, но не удаляй, пока я не скажу.
Промпт для Claude Code
Шаг 3
Как прочитать ответ и что удалять первым
01
Сначала - «подозрительно»
Начинай с пунктов, у которых нет подписи или разработчик неизвестен. Если не узнаёшь название - спроси Claude Code: «что это за файл и откуда он мог взяться?»
02
Сверь автозапуск и соединения
Самое опасное - когда один и тот же процесс сидит в автозапуске и при этом шлёт данные на внешний сервер. Такие пункты удаляешь первыми
03
Удаляй через Claude Code
Напиши: «удали пункт N: выгрузи его из launchctl, удали файл и перезапусти проверку». После удаления снова спроси исходящие соединения - подозрительного адреса быть не должно
04
Проверь объекты входа руками
Меню Apple → Системные настройки → Основные → Объекты входа и расширения. Убери из «Открывать при входе» всё лишнее кнопкой «−» и выключи фоновую активность незнакомых программ
05
Удали расширения
В Chrome открой chrome://extensions и удали всё, что не ставил сам или не узнаёшь. Сомневаешься - удаляй: нужное потом поставишь заново из магазина
Что не трогать
Файлы с подписью Apple (com.apple.*) и программы, которые ты точно ставил сам - Zoom, Telegram, Dropbox и так далее - не удаляй. Задача - найти чужое, а не вычистить всё подряд.
Шаг 4
Как отличить поддельное расширение Chrome от настоящего
В истории из ролика вход был через поддельный Notion Web Clipper из рекламы в Google. У настоящего больше 400 тысяч пользователей, у подделки было 12 отзывов. Перед установкой любого расширения проверяй три вещи.
- Ставить расширения только из Chrome Web Store или по ссылке с официального сайта сервиса, а не из рекламы в поиске
- Проверить число пользователей: у популярных сервисов это сотни тысяч и миллионы, а не десятки
- Проверить отзывы: десяток отзывов у «известного» расширения - красный флаг
- Проверить разработчика: у Notion это Notion Labs, Inc., у Google - Google, а не случайное имя или почта на gmail
- Посмотреть разрешения: «читать и изменять все данные на всех сайтах» без понятной причины - не ставить
Настоящий Notion Web Clipper в Chrome Web Store
Официальная страница Notion Web Clipper
Шаг 5
Пароли и коды двухфакторки - с телефона и по порядку
Почему с телефона
Если на маке сидит закладка, она видит всё, что ты там вводишь, и забирает куки входа. Сменишь пароль с мака - она получит и новый. Поэтому всё меняешь с телефона и только после того, как почистил мак.
01
Почта
Сначала Gmail или другая основная почта: через неё восстанавливаются все остальные аккаунты. Новый пароль, затем «Выйти на всех устройствах»
02
Новые резервные коды
В аккаунте Google: Безопасность → Двухэтапная аутентификация → Резервные коды → создать новые. Старые коды сразу перестают работать. То же самое - в каждом сервисе, где у тебя есть резервные коды
03
Apple ID и менеджер паролей
Дальше - Apple ID и менеджер паролей, если пароли хранились в браузере или в нём
04
Деньги
Биржи, банки, платёжки: новый пароль, выход со всех сессий, проверка привязанных устройств и адресов вывода
05
Криптокошелёк
Если на маке был MetaMask или другой кошелёк - менять пароль мало: ключи могли уже уйти. Создай новый кошелёк с новой сид-фразой на чистом устройстве и переведи туда всё
06
Соцсети и остальное
X, Telegram, Instagram и всё прочее - новый пароль и завершение чужих сессий в настройках безопасности
Справка Google: резервные коды
Шаг 6
Отключи синхронизацию расширений в общем аккаунте Chrome
В ролике у двоих был один аккаунт Chrome, и синхронизация сама поставила подделку на второй мак. Если аккаунтом пользуешься не только ты или он открыт на нескольких компьютерах - выключи синхронизацию расширений.
01
Открой настройки аккаунта
Три точки справа сверху → Настройки → Я и Google → синхронизация / управление данными аккаунта
02
Выключи расширения
Переключись на выбор данных вручную и выключи пункт «Расширения». Закладки и остальное может синхронизироваться дальше
03
Почисти второй компьютер
На каждом маке, где открыт этот аккаунт Chrome, пройди шаги 2-4 этого чек-листа: подделка могла приехать и туда
04
Разведи аккаунты
Лучше всего - у каждого человека свой профиль Chrome и свой аккаунт Google
Справка Chrome: что синхронизировать
Итог
Проверь себя
- Поставить Claude Code и запустить claude из домашней папки
- Вставить промпт и получить таблицу: автозапуск, процессы, расширения, соединения
- Удалить всё «подозрительное» и незнакомое через Claude Code
- Убрать лишнее в Системные настройки → Основные → Объекты входа и расширения
- Удалить незнакомые расширения в chrome://extensions
- Повторить проверку соединений - подозрительных адресов не осталось
- С телефона сменить пароль почты и выйти на всех устройствах
- Создать новые резервные коды двухфакторки
- С телефона сменить пароли Apple ID, бирж, банков и соцсетей
- Перевести крипту на новый кошелёк с новой сид-фразой, если на маке был кошелёк
- Выключить синхронизацию расширений в общем аккаунте Chrome и почистить второй компьютер
