Mac M1 Pro如何彻底删除sbin/bin目录下可疑kextload与kextutil

1. 清理登录项及关联配置 #

• 打开「系统设置」→「通用」→「登录项」，确认kextload和kextutil的条目已彻底移除（你已停用，这里要删掉条目本身）
• 检查系统级启动配置目录，排查关联的plist文件：
  打开终端，执行以下命令查找：

  ls /Library/LaunchAgents/ | grep -E "(kextload|kextutil)"
  ls /Library/LaunchDaemons/ | grep -E "(kextload|kextutil)"
  

  如果找到对应配置文件，用sudo rm /Library/LaunchAgents/[对应文件名].plist（或LaunchDaemons路径）删除，替换[对应文件名]为实际找到的文件名。

2. 删除kext文件（Apple Silicon需处理SIP） #

M1 Pro属于Apple Silicon芯片，默认开启系统完整性保护（SIP），系统目录下的文件无法直接删除，需按以下步骤操作：

• 关闭Mac，按住电源键直到出现「启动选项」，选择「选项」→「继续」进入恢复模式
• 在恢复模式中，点击顶部菜单栏「实用工具」→「终端」
• 执行命令关闭SIP：

  csrutil disable
  

  执行完成后重启Mac，回到正常系统
• 打开终端，根据你截图中的实际文件路径，执行删除命令（替换为真实路径）：

  sudo rm -rf /path/to/kextload
  sudo rm -rf /path/to/kextutil
  

• 删除完成后，再次进入恢复模式，执行以下命令重新开启SIP（务必开启，保障系统安全）：

  csrutil enable
  

  重启Mac即可。

3. 残留检查 #

• 执行以下命令，确认没有加载的可疑内核扩展：

  kextstat | grep -E "(kextload|kextutil)"
  

• 检查用户级启动配置：

  ls ~/Library/LaunchAgents/ | grep -E "(kextload|kextutil)"
  

  若找到相关文件，用rm ~/Library/LaunchAgents/[对应文件名].plist删除。

内容的提问来源于stack exchange，提问作者Werner Zimmermann