Un agente di avvio è un servizio in background di macOS gestito da launchd, generalmente configurato per avviarsi quando un utente effettua il login o per essere eseguito durante la sessione di quell'utente. Le sue impostazioni sono in genere memorizzate in un file property list (PLIST) in una directory LaunchAgents. I servizi a livello di sistema che si avviano all'avvio sono generalmente configurati come Launch Daemon, un meccanismo correlato ma distinto.
Poiché questi servizi possono avviare programmi automaticamente, gli aggressori possono usare o installare un agente di avvio per mantenere in esecuzione software non autorizzato dopo un login o un riavvio. Se viene rilevato un processo sconosciuto, come un miner di criptovalute, esaminane la configurazione di avvio, il percorso dell'eseguibile e la proprietà, quindi verifica che sia autorizzato prima di rimuoverlo. Un agente sospetto è un utile indizio di persistenza, ma da solo non prova chi lo abbia installato né a quali altre risorse si possa aver avuto accesso.