So beantworten Sie die Frage im Titel direkt:
Du kannst nicht.
Alles löschen, macOS neu installieren und Dateien aus dem Backup wiederherstellen ( nicht von der infizierten Maschine).
Der Vollständigkeit halber sei erwähnt, dass es Angriffe gibt, die z. Infizieren Sie die Firmware von Speichergeräten, sodass die gesamte Hardware zerstört werden muss, um 100% ige Sicherheit zu gewährleisten. Es sei denn, Sie haben Grund zu der Annahme, dass Sie von einer Regierung persönlich angegriffen werden, ist dies jedoch keine realistische Sorge. Im Gegensatz dazu ist die Infektion eines Teils der tatsächlich auf der Festplatte gespeicherten Daten um Größenordnungen einfacher und eine sehr realistische Bedrohung. Selbst wenn Sie nur Opfer eines automatisierten, nicht zielgerichteten Angriffs waren, ist das Löschen aller Daten eine notwendige Vorsichtsmaßnahme.
Warum?
Wenn ein Angreifer Root-Zugriff hat, kann er unter anderem ersetzen irgendein binär mit ihrer eigenen Version, die tun kann, was sie wollen, was bedeutet, dass Sie nicht vertrauen können etwas auf Ihrem System mehr. Im wahrsten Sinne des Wortes alles Sie versuchen zu tun, könnte am Ende etwas tun komplett anders . Wenn der Hacker wollte, könnten sie machen cat Rückgabe der behandelten Version von Dateien an z. Log-Einträge verstecken, die unerwünschte Aktivitäten anzeigen; ls zeigt möglicherweise keine vom Hacker hinzugefügten Dateien an; Jeder Texteditor könnte so tun, als würde er das, was Sie schreiben, speichern, aber tatsächlich Ihre Bearbeitungen usw. usw. ignorieren.
Kann ich meine Dateien nicht wenigstens behalten? Ich habe Dinge, die vor einiger Zeit gesichert wurden / die überhaupt nicht gesichert wurden
Der Grund, warum Sie Ihre Dateien nicht kopieren möchten, ist, dass es viele nicht ausführbare Dateitypen gibt, die eine Sicherheitsanfälligkeit ausnutzen und Ihr System erneut infizieren können. Komprimierte Archive verschiedener Typen und PDFs sind gängige Datenträger, aber keineswegs die einzige Gefahr. Du bist wahrscheinlich Sicheres Kopieren einer nicht ausführbaren Klartext-Textdatei (denken Sie jedoch daran, das kompromittierte Betriebssystem nicht zu verwenden), aber denken Sie daran, dass der Angreifer absolut alles in der absolut gewünschten Weise hätte ändern können. Behandeln Sie also alles so, wie Sie es behandeln würden Eine zufällige Datei, die versehentlich von einer schattigen Website heruntergeladen wurde.
Realistischer ...
Sie müssen auch darüber nachdenken Warum Der Hacker würde so etwas tun. Ersetzen cat und ls Mit böswilligen Versionen ist es durchaus möglich, aber die Ausgabe so komplex zu gestalten, dass Sie glauben, alles sei in Ordnung. Wenn der Hacker Sie nur ausspionieren wollte, installierte er einen Keylogger und ließ alles andere in Ruhe. Wenn sie Ihren Computer in einem Botnetz verwenden möchten, installieren sie die erforderliche Software und lassen alles andere in Ruhe. Wenn sie wollten Ihre Geld speziell, sie hätten Ransomware installiert, und das wüsstest du schon.
In keinem der oben genannten Fälle müssen Sie Ihren Bash-Verlauf bearbeiten oder den Hostnamen Ihres Computers ändern. Ein Keylogger oder ein ähnliches Rootkit kann praktisch nicht nachweisbar gemacht werden. Also dabei ein Root-Angreifer können In der Regel bedeutet dies, dass Sie niemals vermuten können, dass sie dort sind, es sei denn, Sie müssen z. Beobachten Sie, wie Ihre Last höher ist als gewöhnlich, wenn Ihr gefährdeter Computer an einem Botnetz teilgenommen hat. Oder wenn es ihnen nichts ausmacht, dass Sie wissen, dass sie dabei sind, ist es viel einfacher, einen Benutzer auszusperren (z. B. durch Ändern des Kontokennworts), als mit dem Bash-Verlauf herumzuspielen. (Oder wieder Ransomware.)
Also, was ist hier passiert und was sollten Sie tun?
Die anderen Antworten beschreiben bereits das wahrscheinlichste Szenario, dem ich persönlich zustimme: Ein paar Fehler, wie der DHCP-Server, der Ihren Hostnamen ändert. In diesem Fall sind Sie kompromisslos und in Ordnung.
Die Alternative ist, dass jemand manuell in Ihren Computer eingebrochen ist und entweder ungeschickt versucht, ihn zu verstecken, oder absichtlich mit Ihnen herumspielt. Dies kann ein Familienmitglied, ein Kollege oder ein anderer Bekannter sein. Vielleicht haben sie Ihr Passwort über die Schulter gesurft. Ob dass der Fall und Sie sind sich sicher, dass sie in der Zwischenzeit keine Rootkits oder Keylogger installiert haben. Dann sollte es ausreichen, nur die relevanten Passwörter (root und Ihr Benutzer) zu ändern. Aber Sie können wirklich nicht wissen, was sie getan oder nicht getan haben, und sobald Sie bereits über Root-Zugriff verfügen, ist es äußerst einfach, ein fertiges Malware-Paket zu installieren oben alles abwischen.
A hacker penetrated in my system and has root access. How do I know that?Die beiden Aussagen sind widersprüchlich. Bitte bearbeiten die Frage und klären.