Для закрепления в системе злоумышленники могут использовать элементы автозагрузки, автоматически выполняемые при загрузке. Элементы автозагрузки выполняются на заключительном этапе процесса загрузки и содержат сценарии командной оболочки или другие исполняемые файлы, а также конфигурационные данные, используемые системой для определения порядка выполнения элементов автозагрузки.

Это технически устаревшая технология (которую заменил демон запуска), поэтому наличие соответствующей папки /Library/StartupItems в системе по умолчанию не гарантируется, но в macOS Sierra она все-таки по умолчанию существует. Элемент автозагрузки — это каталог, у которого исполняемый файл и список свойств конфигурации StartupParameters.plist находятся в каталоге верхнего уровня.

Злоумышленники могут создать соответствующие папки и файлы в каталоге StartupItems, чтобы зарегистрировать собственный механизм закрепления в системе. Кроме того, поскольку элементы каталога StartupItems запускаются на этапе загрузки macOS, они будут выполняться от имени привилегированного пользователя root.