Злоумышленники могут использовать перехватчик входа в систему для закрепления в системе при входе пользователя в систему. Перехватчик входа в систему — это определенный сценарий, который указывается в специальном файле PLIST и выполняется с привилегиями root при входе пользователя в систему. Этот файл PLIST находится по адресу /Library/Preferences/com.apple.loginwindow.plist и может быть изменен с помощью утилиты командной строки defaults. Аналогично действует перехватчик выхода из системы — сценарий, который должен быть выполнен при выходе пользователя из системы. Для изменения и создания перехватчиков требуются права администратора.

Злоумышленники могут добавить путь к вредоносному сценарию в файл com.apple.loginwindow.plist, используя пару "ключ — значение" LoginHook или LogoutHook. Вредоносный сценарий выполняется при следующем входе пользователя в систему. Если перехватчик входа в систему уже существует, злоумышленники могут добавить в него дополнительные команды. Одновременно в системе может быть только один перехватчик входа в систему и один перехватчик выхода из системы.

Примечание. В macOS версии 10.11 перехватчики входа в систему и выхода из системы были отменены и вместо них используются демон запуска и агент запуска.