El modelo de seguridad general es que los usuarios normales pueden agregar cualquier elemento de inicio a su reino (biblioteca de usuario para ellos) y no para el sistema, así que no permitas que las personas tengan cuentas de administrador si no confías en ellas para no ejecutar software que instale elementos de inicio a nivel del sistema.

No hay una forma fácil de evitar que un usuario administrador cambie el sistema. Puedes hacer cumplir Gatekeeper o aplicaciones firmadas, pero la mayoría de los usuarios administradores pueden saltarse esa configuración, así que como máximo, ralentizas a un usuario administrador poco educado por un tiempo.

Trabajos por Usuario y en Toda la Computadora

En macOS, launchd puede gestionar procesos en segundo plano por usuario y en toda la computadora.

Los trabajos por usuario existen dentro de tu sesión de usuario. Se inician y detienen al iniciar y cerrar sesión en la computadora. Si los trabajos tienen tareas asociadas, los encontrarás en la carpeta ~/Library/LaunchAgents y ~/Library/LaunchDaemons

Los trabajos en toda la computadora se inician y detienen con la computadora. Estos trabajos se almacenan en /Library/LaunchAgents y /Library/LaunchDaemons.

Los trabajos en toda la computadora administrados por Apple se almacenan en /System/Library/LaunchAgents y /System/Library/LaunchDaemons.

Los trabajos por usuario no necesitan permisos de superusuario. Por lo tanto, no necesitabas sudo para detener trabajos instalados a nivel de usuario por vox.app.

Desactivar un trabajo de launchd

Puedes descargar un trabajo de launchd para bloquear su retorno:

Uso: launchctl unload

• -w Además deshabilita el servicio de forma que las futuras operaciones de carga resulten en un servicio que launchd rastrea pero no se puede lanzar ni descubrir de ninguna manera.
• -S Solo descarga los servicios asociados con la sesión especificada.
• -D Descarga archivos launchd.plist(5) del dominio especificado. Consulta la discusión sobre esta misma bandera cuando se da al subcomando de carga para más detalles.

El -w hace que la descarga se escriba en el disco y persista a través de las sesiones.

Para más información sobre detener, descargar y anular trabajos, consulta:

• Diferencia entre cargar e iniciar, descargar y detener en Launchctl
• Desactivar Servicios en OSX (services.msc)
• launchctl - eliminar la anulación habilitada/deshabilitada

El problema general es tratado en la respuesta de Graham Miln. Esta respuesta es solo una ligera adición ejercida sobre la aplicación de ejemplo dada:

Versión corta: macOS tiene algunos directorios especiales para este tipo de comportamiento. Esos son los caminos /Library globales y de usuario ya mencionados en la respuesta de Graham. Pero un camino menos visible y por lo tanto menos obvio está dentro de cada paquete de aplicación.

Algunas aplicaciones son demasiado inteligentes. Vox es un ejemplo claro de esto. Estos agentes no están bien explicados pero a menudo se quejan y por lo tanto podrían ser un programa, aplicación o software no deseado (PUPAS) potencialmente.

Esta aplicación desencadena una serie de eventos cuando se copia a /Applications y nuevamente cuando se inicia por primera vez.

En el paquete del paquete de la aplicación se encuentran LoginItems:

/Volumes/VOX/VOX.app/Contents/Library/LoginItems
  ../Loop.app
  ../VOX Agent.app

Ambos son copiados/registrados por el propio DesktopServicesHelper del sistema como un "elemento de inicio de la aplicación auxiliar". Este tipo de "ayudantes" se encuentran a menudo en otras aplicaciones y por lo general son solo molestias que añaden bloat. Podrían ser bloqueados preventivamente para registrarse en primer lugar por pequeñas aplicaciones útiles, como BlockBlock.

Dado que estos todavía están contenidos dentro del paquete de la aplicación ¡tendrías que buscar o proporcionar el camino dentro del paquete de la aplicación!

Una búsqueda de programas/ayudantes lanzados automáticamente tiene que incluir /Applications y ~/Applications.

Otra molestia se encuentra dentro del paquete de la aplicación:

 /Volumes/VOX/VOX.app/Contents/XPCServices 
 /Volumes/VOX/VOX.app/Contents/XPCServices/VOX\ Toolbox.xpc
 /Volumes/VOX/VOX.app/Contents/XPCServices/com.coppertino.Vox.GNTPClientService.xpc 

Una forma de deshabilitar estos procesos por usuario que te molestan está descrita en la respuesta de Graham, usando launchctl.
Solo necesitarías buscar dentro de /Applications también.
Otro método sería entrar en el paquete y simplemente eliminar estos elementos. - La mayoría de las veces esas aplicaciones funcionan bien sin ellos, simplemente faltando la funcionalidad respectiva. Vox era una pequeña aplicación de música 'sin adornos'. Funciona para eso sin esas molestias presentes en el disco.
A veces aplicaciones mejor diseñadas te ofrecen una opción para evitar esas travesuras en su diálogo de preferencias.

Favorito personal: En el caso de la aplicación en el ejemplo dado, sería mejor eliminar toda la aplicación.

Para responder directamente al titular de la pregunta:

¿Por qué una aplicación puede crear demonios sobre la marcha sin permiso sudo y cómo detenerlo?

Porque un usuario inicia la aplicación con sus privilegios y los demonios contenidos dentro de ese paquete de aplicación a veces están diseñados de una manera bastante molesta para luego registrarse de manera bastante opaca como "autostart" dentro del contexto de ese usuario y con los derechos de ese usuario. Para descargarlos o darse de baja no se requieren derechos o permisos sudo/administrativos. Si el infractor está bajo /Applications entonces la eliminación podría depender de permisos más elevados.