Đó là một trong những cảm giác tệ nhất.
Bạn đang dùng Mac và bắt đầu nhận ra một số điều không ổn. File xuất hiện mà bạn chưa từng thấy. Có thể bạn nhận ra ứng dụng bạn chưa bao giờ cài. Hoặc chuột thậm chí tự di chuyển.
Mac của bạn đã bị hack?
Tôi là Andrew, cựu quản trị viên Mac với 15 năm kinh nghiệm Công Nghệ Thông Tin, và tôi sẽ chỉ cho bạn kiểm tra gì nếu nghi ngờ MacBook, iMac, hoặc bất kỳ thiết bị chạy macOS nào đã bị xâm phạm.
Trong bài này, chúng ta sẽ xem 3 kịch bản khác nhau. Chúng ta sẽ xem cách biết ai đó đang chủ động giám sát Mac, cách biết Mac đã bị xâm phạm trong quá khứ, và cách cứng hệ điều hành (harden) giúp ngăn chặn truy cập từ xa không được phép trong tương lai.
Hãy đi sâu nào.
Làm Sao Biết Ai Đang Truy Cập Từ Xa Mac Của Tôi?
Nếu bạn nghi ngờ ai đó có thể truy cập từ xa Mac của bạn trong khi bạn dùng, có vài dấu hiệu rõ ràng.
1. Kiểm Tra Đèn Camera
Bạn có thể nghe chuyện kinh dị hacker bật webcam mà chủ không hay và xem — hoặc tệ hơn, ghi lại — mọi thứ camera thấy.
May mắn thay, Mac có camera tích hợp như iMac và MacBook có đèn chỉ báo bật xanh khi camera đang dùng.
Đèn có phải dấu hiệu tuyệt đối không?
Apple khẳng định camera được nối nối tiếp (wired in series) với đèn, nghĩa là nếu đèn tắt, camera cũng tắt. Theo lời chính Apple,
"Camera được thiết kế sao cho không thể kích hoạt mà không có đèn chỉ báo camera cũng bật. Đây là cách bạn biết camera có bật không."
Tuy nhiên, đèn webcam đã từng bị vô hiệu hóa, và không ngoài khả năng hacker tìm cách bật camera của bạn trong khi giữ đèn LED tắt.
Đừng tin 100% vào đèn LED, nhưng nếu bạn thấy nó bật mà bạn không chạy chương trình nào truy cập camera, thì ai đó khác có thể đang truy cập.
2. Tìm Biểu Tượng Apple Remote Desktop Hoặc Screen Sharing
Phần mềm điều khiển từ xa của Apple gọi là Apple Remote Desktop (ARD) cho phép giáo viên, chuyên gia IT, hoặc bất kỳ ai có quyền giám sát, thao tác, thậm chí điều khiển Mac khác.
Chia sẻ màn hình (Screen sharing) là phương pháp khác cho ai đó hoặc thiết bị khác truy cập máy của bạn.
Nhưng khi ai đó kết nối Mac của bạn dùng ARD hoặc qua chia sẻ màn hình, macOS hiển thị biểu tượng chia sẻ màn hình ở góc trên phải màn hình.
Nếu Mac ở màn hình khóa (hoặc màn hình đăng nhập), bạn cũng sẽ thấy thông báo "Màn hình của bạn đang được quan sát."
Tùy phiên bản OS, thông báo này ở góc trên phải bên biểu tượng chia sẻ màn hình trên macOS 12 Monterey, hoặc gần giữa trên tài khoản người dùng ở phiên bản cũ.
Đây là giao diện macOS Monterey:
Nếu bạn thấy biểu tượng này, Mac của bạn có thể đang bị giám sát.
Có hai trường hợp biểu tượng này KHÔNG có nghĩa là ai đó đang giám sát màn hình từ xa.
Thứ nhất, nếu bạn dùng AirPlay để phản chiếu màn hình Mac không dây. Khi làm vậy bằng kết nối Apple TV hoặc thiết bị tương thích AirPlay, macOS sẽ hiển thị biểu tượng Chia sẻ màn hình giống như ARD và chia sẻ màn hình từ xa.
Tất nhiên, nếu bạn không khởi động phiên phản chiếu màn hình, vẫn có thể ai đó từ xa bật AirPlay. Nhưng nếu ai đó có quyền truy cập Mac, không likely họ có động cơ dùng AirPlay.
Trường hợp thứ hai xảy ra khi quay màn hình. Bạn biết quay màn hình có thể trên macOS? Có thể.
Cách dễ nhất bắt đầu quay màn hình là dùng phím tắt shift + command + 5 rồi nhấp nút "Record" (Quay).
Nếu bạn làm theo, bạn sẽ thấy hình tròn với nút dừng vuông ở góc trên phải. Bạn chỉ thấy biểu tượng chia sẻ màn hình nếu màn hình khóa trong khi quay màn hình đang tiến hành.
3. Quan Sát Di Chuột Hoặc Hành Vi GUI Bất Thường Khác
Chuột của bạn có tự di chuyển không?
Chương trình có tự mở hoặc đóng? Bạn thấy phím được gõ trên máy?
Những hành vi kỳ lạ hoặc bất thường này có thể chỉ ra ai đó đang điều khiển từ xa Mac của bạn.
Xác minh thiết bị nhập ngoại vi như Magic Mouse, bàn phím không dây, hoặc trackpad không bị lỗi, vì chúng có thể gây triệu chứng tương tự.
4. Dùng Lệnh Who
Nếu Remote Login (Đăng nhập từ xa) được bật trên Mac, ai đó có thể truy cập Mac dùng Secure Shell (SSH).
Cách đơn giản kiểm tra là chạy lệnh "who" từ Terminal macOS. Từ Launchpad, tìm "Terminal" và nhấp mở app.
Nhập "who" (không dấu ngoặc) và nhấn Return.
Terminal sẽ hiển thị người dùng đăng nhập vào máy.
Người dùng từ xa sẽ liệt kê cùng địa chỉ IP. Trong ảnh chụp trên, người dùng "jeremiah" kết nối từ IP 192.168.1.22.
Cách Biết Mac Của Bạn Đã Bị Hack
Nếu bạn không nghi ngờ ai đang chủ động truy cập Mac, nhưng muốn biết ai đã truy cập từ xa Mac trong quá khứ, có vài nơi xem.
1. Kiểm Tra File Log (Nhật Ký)
Quay lại Terminal, gõ lệnh sau:
log show –last 7d –predicate ‘processImagePath CONTAINS “screensharingd” AND eventMessage CONTAINS “Authentication”‘
Lệnh này hiển thị tất cả mục log chia sẻ màn hình 7 ngày qua có thông điệp về xác thực.
Bạn thấy trong ví dụ user 'jeremiah' cố gắng thiết lập phiên chia sẻ màn hình từ IP 192.168.1.22.
2. Tìm File Mới Hoặc Đã Sửa Đổi
Bạn nhận ra file mới bạn không tạo? Có file của bạn bị sửa mà bạn không thay đổi?
Đây là dấu hiệu ai đó có thể truy cập và thao túng máy.
Nhớ rằng hệ thống tự tạo file khắp OS, nên đừng vội kết luận nếu thấy file không nhận ra.
Tuy nhiên, file lạ có thể là triệu chứng truy cập từ xa không phép.
3. Kiểm Tra Tài Khoản Người Dùng Mới
Mở Terminal lại và gõ:
dscl . list /Users
Bạn có thể bỏ qua user bắt đầu bằng gạch dưới, và cũng bỏ qua daemon, nobody, và root. Đây là user bình thường tích hợp sẵn macOS.
Nếu thấy user bạn không nhận ra, có thể ai đó có truy cập từ xa tạo user này và dùng tài khoản truy cập Mac của bạn.
4. Kiểm Tra Malware
Mục khác cần kiểm tra là malware.
Malware nhiều dạng, nhưng một chức năng là truy cập từ xa máy tính cho nhiều mục đích như đánh cắp danh tính, botnet, tống tiền.
Bitdefender Antivirus liên tục xếp hạng top khi quét và bảo vệ virus macOS. Phần mềm không miễn phí, chuẩn bị chi vài đô/năm dùng chương trình.
Lựa chọn tốt khác là Malwarebytes. Malwarebytes cũng không miễn phí, nhưng có dùng thử 14 ngày. Vì vậy nếu chỉ cần quét một lần, có thể là lựa chọn tốt.
5. Tìm Ứng Dụng Mới Cài Đặt
Từ menu Finder, nhấp Go (Đi) rồi Applications (Ứng dụng). Ở chế độ xem danh sách, nhấp Date Modified (Ngày sửa đổi) để sắp xếp ứng dụng.
Bạn nhận ra chương trình gần đây đáng ngờ hoặc không nhận ra?
Nếu có, nhập tên ứng dụng vào công cụ tìm kiếm Internet xem có hợp pháp không. Nếu không, xóa chúng.
6. Kiểm Tra Mục Đăng Nhập (Login Items)
Chương trình khởi động không được phép có thể chỉ ra loại spyware, adware, hoặc malware khác hiện diện trên máy.
Điều này có thể đơn giản (và độc ác) như script bật lại chia sẻ màn hình mỗi khi bạn đăng nhập.
Để xem chương trình nào chạy khi đăng nhập, vào System Preferences nhấp biểu tượng Users & Groups (Người dùng & Nhóm). Sau đó nhấp tab Login Items (Mục đăng nhập) bên phải.
Khung này liệt kê chương trình chạy khi bạn đăng nhập. Chọn mục không nhận ra hoặc không cần, nhấp nút trừ để xóa.
Cách Ngăn Ai Đó Truy Cập Mac Của Bạn Từ Xa
Ngay cả khi bạn không nghi ngờ ai truy cập Mac trong quá khứ, luôn tốt khi điều chỉnh cài đặt OS làm nó an toàn hơn. Điều này gọi là hardening (làm cứng), và không tốn nhiều thời gian. Đây là cài đặt cần kiểm tra:
1. Kiểm Tra Quyền Truy Cập Camera Và Microphone
Trong System Preferences, nhấp Security & Privacy (Bảo mật & Riêng tư) rồi chọn tab Privacy (Riêng tư).
Nhấp biểu tượng ổ khóa góc dưới trái và xác thực để thay đổi cài đặt khung này.
Cuộn đến Camera bên trái và chọn mục. Ứng dụng có quyền truy cập sẽ liệt kê bên phải với dấu tích hộp bên cạnh.
Bỏ tích bất kỳ chương trình nào bạn không muốn truy cập camera.
Làm tương tự cho Microphone.
2. Cài Phần Mềm Chống Malware
Chương trình antivirus tốt, dù có thể rườm rà, là hàng rào khác chống hoạt động xấu trên Mac. Xem khuyến nghị trên.
3. Tắt SSH, Screen Sharing, Và Remote Management Access
Quay lại System Preferences, điều hướng khung Sharing (Chia sẻ).
Bỏ tích các hộp: "Screen Sharing" (Chia sẻ màn hình), "Remote Login" (Đăng nhập từ xa), và "Remote Management" (Quản lý từ xa).
Việc này giới hạn truy cập từ xa đến Mac. Bạn luôn có thể bật lại thủ công nếu cần cho phép truy cập tạm thời.
Câu Hỏi Thường Gặp
Bây giờ bạn biết dấu hiệu truy cập từ xa và cách làm cứng Mac ngăn chặn truy cập không phép tương lai, nhưng bạn có thể còn vài câu hỏi.
Mac có thể bị hack từ xa không?
Có, Mac không miễn dịch hack từ xa. Nếu SSH được bật, bất kỳ ai có thông tin đăng nhập admin có thể thực thi mã từ xa dẫn đến chiếm quyền hoàn toàn Mac.
Làm sao xem hoạt động gần đây trên Mac?
File system.log trong tiện ích Console là nơi bắt đầu tốt. Trong file log đó, bạn tìm từ khóa. Nếu cụ thể tìm sự kiện screensharing, dùng hướng dẫn trên.
Thẩm Quyền Kiểm Soát Mac Của Bạn
Bằng cách làm theo các bước trên, không chỉ bạn xác định được ai đang truy cập Mac từ xa, mà còn kiểm tra hoạt động quá khứ và thậm chí làm cứng hệ thống ngăn chặn xâm phạm tương lai.
Không cần sợ hãi khi dùng Mac. Bằng cách làm theo hướng dẫn và dùng chút sự am hiểu, bạn sẽ tự tin tiến về phía trước rằng Mac là của bạn, và không ai ngoài bạn và người bạn cấp quyền mới có quyền truy cập.