Cómo encontrar y eliminar un instalador que se inicia automáticamente en el arranque

Además de los elementos de inicio de sesión (abra el panel Usuarios y Grupos de las Preferencias del Sistema), pruebe esto.

En el Terminal, escriba

ls ~/Library/LaunchAgents

Verá sus agentes de lanzamiento "personales".

Para ver todos los agentes cargados actualmente, escriba esto:

launchctl list

Si puedes identificar el que no quieres, utiliza la opción de descarga:

launchctl unload ~/Library/LaunchAgents/whateverItIsYouWantToUnload

Mi sugerencia sería ejecutar una aplicación llamada Etrecheck y publique los resultados en su pregunta original, o en un gist aquí y luego actualizar la pregunta con un enlace al gist. Podría tratarse de una infección de malware. La salida de Etrecheck podría ayudar a confirmarlo. Me parece muy sospechoso que algo diga ser un "Instalador" pero no diga lo que está instalando.

También puede utilizar el Monitor de Actividad para identificar qué es lo que lanza el Instalador. En el Monitor de actividad, seleccione el proceso de instalación y haga clic en el botón de información (o pulse el botón y I ) para que aparezca la ventana del Inspector de ese proceso. Si hace clic en la pestaña "Open Files and Ports" le dirá desde dónde se está ejecutando el Instalador. La primera entrada de la lista debería ser la ubicación del archivo ejecutable real. Así que usted podría matar el proceso y luego ir a esa ubicación y eliminar o mover la aplicación a otra ubicación. Tenga en cuenta que en la captura de pantalla siguiente /Users/alistair/Downloads/EtreCheck.app/Contents/MacOS/EtreCheck es el proceso pero /Users/alistair/Downloads/EtreCheck.app es el paquete de aplicaciones que se encuentra en el Finder. Si todavía no estás seguro de qué es el instalador, darnos la ruta completa del ejecutable en un comentario podría ayudarnos a identificarlo si es algo malicioso.

No ejecute el EtreCheck. Es es casi seguro que es un malware. ¿Qué se puede hacer para detener el malware "EtreCheck"?

Para añadir a la respuesta de la otra persona, comprobar los agentes de lanzamiento es una buena idea, pero su recomendación sólo comprobaría los agentes de lanzamiento iniciados por el nombre de usuario activo y pasaría por alto los que están listados bajo el usuario Root/por el sistema o cualquier otro usuario. Escribiendo sudo te mostrará los agentes de lanzamiento del Sistema y bien para el resto de los "usuarios" aleatorios que tienes puedes probar usando "sudo launchctl asusuer 502 launchctl list" donde 502 sería el UID del otro usuario. "dscl -raw localhost -readall /Local/Default/Users" te mostrará todos los id's únicos disponibles. El Monitor de Actividad le mostrará todos los otros nombres de usuario que actualmente tiene un proceso pero para ver todos los plists no cargados necesitaría usar launchctl.

Sé que esto es historia antigua, pero quería mencionar esos dos puntos.