Злоумышленники могут создавать или изменять агенты запуска для систематического выполнения полезной нагрузки с целью закрепления в системе. При входе пользователя в систему для него запускается процесс launchd, который загружает параметры для каждого запускаемого по требованию пользовательского агента. Эти параметры находятся в файлах со списками свойств (PLIST), расположенных в каталогах /System/Library/LaunchAgents, /Library/LaunchAgents и ~/Library/LaunchAgents. Ключи Label и ProgramArguments в файлах PLIST определяют имя агента запуска и расположение исполняемого файла, а ключ RunAtLoad указывает, что агент должен запускаться сразу при загрузке. Агенты запуска часто устанавливаются для обновления программ, запуска указанных пользователем программ при входе в систему, а также выполнения других определяемых разработчиками задач.

Агенты запуска также могут запускаться с помощью команды Launchctl.

Злоумышленники могут установить новый агент запуска, запускаемый при входе в систему, поместив в соответствующие папки файл PLIST с ключами RunAtLoad и KeepAlive, для которых установлено значение true. Имя агента запуска может быть замаскировано: в качестве него может быть указано название системного или иного легитимного программного обеспечения. Агенты запуска создаются с привилегиями уровня пользователя и выполняются с разрешениями также пользовательского уровня.