Tidy My Mac
简短回答：在 Mac 上检查四件事：哪些服务被允许远程控制它（共享）、存在哪些用户账户、哪些应用拥有辅助功能、录屏或完全磁盘访问权限，以及哪些项目会在登录时启动。然后检查 Apple 账户的设备列表和电子邮件最近的登录记录。如果发现有别人的访问权限，请断开网络、将其移除，并在另一台设备上更改密码。
被黑、中毒，还是诈骗？
看起来像被黑的情况，通常是三种不同的问题之一，每种都有各自的解决办法：
- 诈骗：浏览器中出现弹窗，或者收到电子邮件，声称你的 Mac 被黑了，或者你被摄像头拍下了。你的 Mac 上什么都没有改变。请参阅Apple Security Alert 骗局；要求用比特币付款的电子邮件属于性勒索，正确的做法是删除它。
- 恶意软件或广告软件：主页或搜索引擎被更改，原本没有广告的地方出现广告，出现你没有安装过的应用。请参阅如何从 Mac 中移除恶意软件。
- 账户被盗：收到登录提醒、你没有申请过的密码重设邮件，或者有人以你的名义发送消息。有人拿到了你的密码，但不一定能进入你的 Mac。请从下面的第 6 步开始。
真正有人控制 Mac 的情况最为少见。它通常始于在虚假技术支持电话中安装的远程支持应用，或者某个曾经接触过这台 Mac 的人。
有人能访问你的 Mac 的迹象
- 你没有操作时，指针在移动、窗口自行打开或有文字被输入。
- 出现你没有安装过的远程控制应用，例如 AnyDesk、TeamViewer 或屏幕共享工具，或者是有人在电话中让你安装的。
- “用户与群组”中有一个你没有创建过的用户账户，或者你的密码突然不能用了。
- 在你没有打开任何应该使用摄像头或麦克风的应用时，摄像头的绿灯或麦克风的橙色圆点亮起。
- 你修改过的设置又被改了回去，例如防火墙被关闭，或者出现无法移除的描述文件。
1. 断开网络连接
开始之前，先关闭 Wi-Fi 或拔掉网线。这样远程控制和数据上传就会停止，连接着的人也无法看到你在检查什么，或撤销你的操作。只在需要时再重新联网，例如最后更改密码时。
2. 关闭远程访问
打开“系统设置”›“通用”›“共享”。关闭所有你自己不用的项目，尤其是屏幕共享、远程管理、远程登录、文件共享和远程Apple事件。“远程登录”允许任何知道某个账户密码的人通过网络在你的 Mac 上运行命令。
然后在应用程序中查找远程控制应用，例如 AnyDesk、TeamViewer、Splashtop、ConnectWise 或 RustDesk。如果某个应用不是你出于明确理由安装的，请退出它并连同其辅助程序一起移除；请参阅如何彻底卸载应用。
3. 检查用户账户
打开“系统设置”›“用户与群组”。列出的每个账户都可以登录这台 Mac，而管理员可以更改其中的任何内容。删除你没有创建过的账户，并确保只有你是管理员。然后用更改密码更改你自己的 Mac 密码，以防有人知道旧密码。
4. 检查哪些应用可以监视或控制 Mac
打开“系统设置”›“隐私与安全”，逐一查看以下列表。对于任何你不认识或不再使用的应用，关闭它的权限，或用−按钮将其移除：
- 辅助功能：应用可以控制你的 Mac，替你点按和输入。
- 录屏与系统录音：应用可以看到你屏幕上的一切。
- 输入监控：应用可以读取你输入的内容，包括密码。
- 完全磁盘访问权限、摄像头和麦克风。
麦克风正在使用时，菜单栏中会显示一个橙色圆点；摄像头则会亮起绿灯。打开控制中心，可以查看是哪个应用正在使用或最近使用过它们。
5. 检查随 Mac 启动的项目
任何想要保持访问权限的东西，都必须在重新启动后自行再次启动。检查“系统设置”›“通用”›“登录项与扩展”和启动代理文件夹，具体方法见如何从 Mac 中移除恶意软件；并在“通用”›“设备管理”下移除不是你安装的描述文件。然后运行恶意软件扫描。
6. 在另一台设备上检查你的账户
- Apple 账户：在 account.apple.com 上，或在“系统设置”中你的名字下，查看设备。移除任何不属于你的设备，然后更改密码。如果别人掌握了你的 Apple 账户，他们就能看到你的 iCloud 照片、信息和备份，还能用“查找”锁定你的设备。
- 电子邮件：检查最近的登录活动和转发规则。把你的邮件转发到别处的规则，正是攻击者在你更改密码后仍能继续收到重设验证码的手段。
- 更改电子邮件、Apple 账户、银行以及浏览器中保存的每个账户的密码，从电子邮件开始；如果网站允许，还要退出所有其他会话。
- 在所有地方开启双重认证，最好使用身份验证器应用或通行密钥，而不是短信。
请在你信任的手机或另一台电脑上操作：如果这台 Mac 仍然处于被入侵状态，在上面输入的新密码也可能被窃取。
如果你让诈骗者进入了你的 Mac
如果有陌生人曾远程控制你的 Mac，例如通过虚假的支持电话或虚假退款，请假定他们看到了你屏幕上的内容，并且可能安装了某些东西以便再次进入。如果他们看到或操作过网上银行，请先给银行打电话。然后完成上面的所有步骤，并考虑抹掉 Mac：先备份你的文稿，然后选择“系统设置”›“通用”›“传输或还原”›“抹掉所有内容和设置”，再从开发者那里重新安装应用。
用 Tidy My Mac 检查你的 Mac
- Security Settings 会为 Mac 的各项防护打分，包括 FileVault、防火墙、Gatekeeper 和 SIP，并说明如何修复每一项已关闭的防护。
- Privacy Access 会在一个地方列出所有被允许使用你的摄像头、麦克风、屏幕和文件的应用，Sudo Activity 则会显示过去 30 天内以管理员权限运行的命令。
- Antivirus 会扫描恶意软件和远程访问木马，Startup Items 会显示随 Mac 启动的所有项目，Firewall 会显示哪些应用在向外连接，并可以阻止它们。
关于Mac 被黑的常见问题
检查“共享”中是否有你没有开启的远程访问、是否有你没有创建的用户账户、是否有陌生应用拥有辅助功能或录屏权限，以及是否有你没有安装的远程控制应用。声称你被黑的弹窗或电子邮件几乎都是诈骗。
只能通过拥有摄像头访问权限的应用。在 Mac 上，只要摄像头在使用中，旁边的绿灯就一定会亮起。请在“隐私与安全”›“摄像头”中查看哪些应用拥有访问权限。
几乎可以肯定不是。这类邮件是成百万地群发的，而且常常引用数据泄露中的旧密码，让人觉得可信。不要付款，也不要回复；凡是还在使用那个密码的地方，都把它改掉。
“抹掉所有内容和设置”会移除 Mac 上的所有应用和账户。但它不会更改你的在线密码，所以也请在另一台设备上更改这些密码，否则攻击者仍然可以进入你的账户。