Cuando tienes un disco encriptado con FileVault, el sistema necesita pedir un usuario autorizado para iniciar sesión justo después del arranque EFI. (no es ninguna novedad, sólo se trata de aplicar lo que la mayoría de la gente sabe)
Ese logo muestra tu avatar porque el avatar de tu usuario está insertado en la imagen/nvram de arranque EFI. En este punto de la secuencia de arranque, no hay ningún sistema operativo cargado todavía, es sólo una simple pantalla de arranque para pedir la contraseña del usuario [que simula la pantalla de inicio de sesión de la GUI], pero es sólo una imagen estática que contiene los avatares del usuario.
Después de introducir la contraseña, el disco se monta y comienza el proceso de arranque.
Después de que la barra de carga alcanza aproximadamente el 80% esa pantalla cambia a otra casi idéntica, a veces parpadea en este punto. Esta es la interfaz de la GUI que se está cargando, proceso llamado WindowServer. Su avatar no se muestra en esta fase. Para modificarlo sería necesario cambiar los archivos protegidos del sistema SIP (si es posible), de lo contrario no se puede cambiar fácilmente.
Así es como funciona la secuencia de arranque para los sistemas MacOS encriptados de Filevaut.
Si lo arrancas usando el argumento "-v" nvram puedes obtener una mejor visión de lo que está sucediendo "detrás" de la escena, y también puedes ver el momento de carga de la GUI.
Si abres la Console.app y cambias tu avatar en System Configuration puedes ver el momento en que escribe tu avatar en la nvram [sólo para el sistema encriptado por FileVault esto ocurre]
Mi respuesta es una respuesta parcial sólo para aclarar cómo se hace técnicamente y ayudar a describir cómo funciona. Espero que pueda ser valiosa para ayudarte [o a otros que estén leyendo esto] a alcanzar tu objetivo de cambiarlo.
