Para responder a la pregunta en el título directamente:
Usted no puede.
Limpie todo, vuelva a instalar macOS y restaurar los archivos de copia de seguridad (no desde la máquina infectada).
Para exhaustividad, cabe mencionar que existen ataques que, por ejemplo, infectar el firmware de los dispositivos de almacenamiento, lo que exige todo el hardware a ser destruido para garantizar el 100% de seguridad. A menos que tenga razones para creer que usted está personalmente dirigida por un gobierno, sin embargo, esto no es un realista - la preocupación por el contrario, infectando a cualquier parte de los datos almacenados en el disco es órdenes de magnitud más fácil y una muy realista amenaza. Incluso si usted fuera la víctima de un sistema automatizado, no focalizados ataque, destruyendo todo lo que es una precaución necesaria.
Por qué?
Si un atacante tiene acceso de root, se puede, entre otras cosas, reemplazar cualquier archivo binario con su propia versión de que pueden hacer lo que quieran, lo que significa que no se puede confiar en nada en su sistema. Literalmente cualquier cosa que intente hacer podría terminar haciendo algo completamente diferente. Si el hacker quería, pueden hacer que cat de devolución versión falsificada de archivos, por ejemplo, ocultar las entradas de registro que muestra una actividad no deseada; ls podría no mostrar archivos añadidos por el hacker; cualquier editor de texto puede pretender guardar lo que escribir, pero en realidad silenciar sus ediciones, etc., etc.
No puedo, al menos, mantener mis archivos? Tengo cosas que fueron respaldadas hace un tiempo/no están respaldados en todo
La razón que usted no desea copiar los archivos a través de es que hay un montón de no-tipos de archivos ejecutables que pueden explotar alguna vulnerabilidad o de otros y de infectar su sistema. Comprime archivos de diversos tipos de documentos Pdf y son los portadores comunes, pero no es el único peligro. Usted es probablemente seguro de copiar un texto, no ejecutable archivo de texto (recuerda no utilizar el peligro OS para hacer que, a pesar de que), pero recuerde que el attacer podría haber cambiado absolutamente en nada, absolutamente en cualquier forma que ellos quisieran,para tratar todo como trataría a un archivo aleatorio descargado accidentalmente desde la sombra de una página web.
De manera más realista...
Usted también tiene que pensar acerca de por qué el hacker podría hacer algo como eso. Reemplazando cat y ls con versiones maliciosas es totalmente posible, pero hacer que la salida lo suficientemente sofisticados como para engañar pensando que todo está bien es mucho más compleja. Si el hacker sólo quería espiar a usted, que había instalar un keylogger y dejar todo lo demás solo. Si querían utilizar su máquina en una red de bots, que había instalar el software necesario y dejar todo lo demás solo. Si querían su dinero específicamente, se habría instalado ransomware, y no supiéramos ya.
Ninguno de los anteriores casos, se trataría de la edición de su bash historia, o cambiar el nombre de host de la máquina. Un keylogger o similar rootkit puede ser prácticamente indetectable. Así, mientras que una root atacante puede hacer nada, que por lo general significa que usted nunca será capaz de adivinar que están allí, excepto, por ejemplo, mediante la observación de su carga de ser más alto que de costumbre cuando su máquina comprometida participado en una red de bots. O si no cuenta usted saber que estaban en, es mucho, mucho más fácil de bloqueo de un usuario (por ejemplo, mediante el cambio de la contraseña de la cuenta) que lío con el bash de la historia. (O, de nuevo, ransomware.)
Entonces, ¿qué pasó aquí y ¿qué debe hacer?
Las otras respuestas ya describir lo que yo personalmente está de acuerdo es el más probable escenario: un par de casualidades, como el servidor DHCP de cambiar su nombre de host. En el que caso de que usted está intransigente y fina.
La alternativa es que alguien manualmente rompió en su máquina, y es torpemente tratando de ocultarlo, o intencionalmente jugar con usted. Esto podría ser un miembro de la familia o un compañero de trabajo, o de otros acquiantance; tal vez se podría haber hombro-surfeado su contraseña. Si ese el caso y estás seguro de que no instalar cualquier rootkit o keyloggers en el ínterin, a continuación, sólo el cambio de las correspondientes contraseñas (de la root, y su usuario) debería ser suficiente. Pero usted realmente no puede saber lo que hizo o no hizo, y una vez que ya tienes acceso root es completamente trivial para instalar un ready-made de malware paquete - así que si usted realmente cree que alguien ganado no autorizado acceso de root, entonces, como se explicó anteriormente, limpie todo.
