如何从 Mac 中移除恶意软件：分步指南

Mac 中了恶意软件的迹象

• 浏览器的主页或搜索引擎自行改变了，或者原本没有广告的网站出现了广告和弹窗。
• 出现了你不记得安装过的应用、浏览器扩展或描述文件。
• 刚打开下载的文件就弹出了密码提示，或者在没有明确理由的情况下要求你输入 Mac 密码。
• Mac 闲置时风扇仍在转、机身发烫，而且活动监视器的 CPU 列表最上面有一个你不认识的进程。
• 你的账户在你从未去过的地方被登录，或者钱包里的加密货币被转走。

浏览器中单单出现一个吓人的弹窗，并不是感染的迹象；请参阅Apple Security Alert 骗局。

1. 断开网络，不要输入任何密码

关闭 Wi-Fi 或拔掉网线，让正在运行的程序无法再发送数据或下载更多内容。在处理完成之前，不要在任何意外弹出的提示中输入你的 Mac 密码或其他任何密码。

2. 退出正在运行的程序

打开活动监视器，按 % CPU 排序。对于任何你不认识的进程，选中它并点按信息按钮（ⓘ）；打开的文件和端口会显示它的文件所在位置。记下该位置，然后点按停止按钮（✕）并选择强制退出。如果拿不准，先在网上搜索一下这个名称；许多看起来奇怪的名称其实是 macOS 的组成部分。

3. 移除不是你安装的应用

在访达中打开应用程序，按添加日期排序，把任何你不认识的项目拖到废纸篓，尤其是在问题出现前后添加的应用。恶意软件常常使用听起来很有用的名称，例如清理工具、视频播放器、PDF 工具，或你已有软件的更新程序。如需同时移除应用的残留文件，请参阅如何彻底卸载应用。

4. 检查随 Mac 启动的项目

恶意软件会在每次登录时自行启动，以此驻留下来。打开“系统设置”›“通用”›“登录项与扩展”：

• 在“登录时打开”下，用−按钮移除任何你不认识的项目。
• 在“允许在后台”下，关闭来自你不认识的开发者的项目。点按项目旁边的信息按钮（ⓘ），可查看其背后的文件。

然后查看启动文件夹本身。在访达中选取前往 › 前往文件夹，依次打开 ~/Library/LaunchAgents、/Library/LaunchAgents 和 /Library/LaunchDaemons。每个文件都会启动一个程序。把名称你不认识的文件，或指向你在活动监视器中记下的位置的文件移到废纸篓，然后重新启动。保留你认识的应用的文件，例如 Google、Microsoft 或 Adobe 的文件。

5. 清理浏览器

• Safari 浏览器：在Safari 浏览器 › 设置中，移除扩展下的未知项目，并在通用中检查主页，在搜索中检查搜索引擎。在网站 › 通知下，拒绝你不认识的网站。
• Chrome、Edge 和 Brave：移除未知扩展，然后在浏览器的设置中使用重置设置。如果在你自己的 Mac 上某项设置显示由你的组织管理，说明有描述文件在强制设定它；请看下一步。
• Firefox：移除未知的附加组件，或在其故障排除信息页面使用“翻新 Firefox”。

6. 移除未知的描述文件

打开“系统设置”›“通用”›“设备管理”。描述文件可以设定浏览器的主页、搜索引擎和代理，并阻止你把它们改回来。除非你的 Mac 由工作单位或学校管理，否则请选择其中列出的任何描述文件，并用−按钮将其移除。

7. 运行恶意软件扫描

macOS 内置的 XProtect 会自动移除已知的恶意软件，但它默默地在后台工作，你无法按需运行它。扫描工具可以一次性检查上述所有位置，找出你遗漏的内容。Tidy My Mac 的 Antivirus 和 Adware 扫描就能做到这一点；Malwarebytes 也有一款适用于 Mac 的免费扫描工具，可以移除它找到的内容。运行一次完整扫描，隔离它报告的内容，然后重新启动。

8. 如果运行过密码窃取程序

如果你曾在意外弹出的提示中输入 Mac 密码，或把网页上的命令粘贴到“终端”中，请假定窃取程序已经复制了你浏览器中保存的密码、Cookie、钥匙串和加密货币钱包。移除它并不能挽回这些损失。请在另一台设备上：

1. 先更改电子邮件密码，然后更改 Apple 账户、银行以及浏览器中保存的其他所有密码；如果网站允许，还要退出其他会话。
2. 尽可能在所有地方开启双重认证。
3. 把加密货币转到使用新恢复短语的新钱包。旧钱包应视为已泄露。
4. 如果浏览器中保存过银行卡信息，请通知你的银行。

何时应改为抹掉 Mac

如果问题反复出现，或者有人曾远程访问你的 Mac，抹掉 Mac 是唯一能确保干净的方法。备份你的文稿、照片和其他文件，但不要备份应用或旧的备份，因为它们可能把恶意软件带回来。然后选择“系统设置”›“通用”›“传输或还原”›“抹掉所有内容和设置”（适用于搭载 Apple 芯片 或 T2 芯片的 Mac），再从 App Store 或开发者的网站重新安装应用。

防止再次中招

大多数 Mac 恶意软件是通过虚假下载、盗版应用和粘贴到“终端”中的命令进入的。请参阅Mac 需要杀毒软件吗，了解 macOS 如何保护你，以及最重要的使用习惯。

用 Tidy My Mac 移除恶意软件

• Antivirus 通过 Quick、Normal 和 Deep 扫描检查你的应用、下载内容和启动代理，并把发现的内容移入可供你查看的隔离区。
• Adware 会找出劫持浏览器的扩展、描述文件、策略和代理，并将其移除。
• Startup Items 和 Background Services 会列出随 Mac 启动的所有项目及其所属的应用，Uninstaller 则会连同辅助程序一起移除应用。