活动监视器不标注“流氓插件”，但可通过网络视图（Rcvd/Sent流量）、进程名异常、路径可疑（如~/Library/Application Support/下陌生文件夹）、签名缺失及launchd自启项交叉识别并清理。
活动监视器本身不直接标注“流氓插件”，但它是识别这类进程最实用的起点——关键在于结合网络行为、进程签名、启动路径和用户目录特征，交叉判断异常。
打开并切换到“网络”视图
默认情况下，“活动监视器”可能未显示网络监控列。需手动启用：
- 启动“活动监视器”（Spotlight 搜索即可）
- 点击顶部标签栏的“网络”（不是 CPU 或内存）
- 若看不到该标签：菜单栏 → 显示 → 勾选“网络”
启用后，“Rcvd”（接收）和“Sent”（发送）两列会实时显示每秒流量（KB/s 或 MB/s），这是发现后台悄悄传数据的首要窗口。
锁定可疑插件类进程的典型特征
流氓插件常伪装成普通后台程序，但有共性痕迹：
- 名字异常：含随机字符（如xq8mz_updater）、无意义缩写（如svc_loader）、或刻意模仿 Apple 进程（如com.apple.morkim）
- 路径可疑：指向~/Library/Application Support/下陌生子文件夹，或/Library/LaunchAgents/中非官方 plist 启动的可执行文件
- 行为反常：无对应前台 App，却持续上传 >200 KB/s；或频繁连接非常规端口（如 55555、49152+ 高端口）及境外 IP
- 签名缺失：双击进程 → “信息”窗口中“签名校验”显示“未确认”或空白
验证来源：从进程反查启动机制
仅看名称不够，必须确认它怎么来的：
- 在活动监视器中选中目标进程，点右下角ⓘ按钮，记下 PID 和完整路径
- 打开终端，运行：
lsof -i -P -n | grep <PID>→ 查它连了哪些远程地址和端口 - 再运行：
launchctl list | grep <PID>→ 若有输出，说明由 launchd 管理
接着查对应 plist：ls -la ~/Library/LaunchAgents/ /Library/LaunchDaemons/ | grep -i "关键词"
重点筛查 plist 文件中的ProgramArguments或Program字段，看是否指向用户目录下的可疑二进制文件。
安全清理：不强杀，先断源
确认为插件类流氓进程后，操作要克制：
- 在活动监视器中点击左上角“X”→ 选择“退出进程”（非强制退出），观察是否自动重启
- 若立即复活，说明有 launchd 自启项 → 找到对应 plist 路径，运行：
sudo launchctl unload -w [plist路径] - 随后删除 plist 文件本身，以及它调用的可执行文件（通常位于~/Library/Application Support/xxx/）
- 最后清空浏览器扩展（Safari/Chrome/Firefox 设置中检查“扩展”页），它们常是插件入口
整个过程不需要重装系统，也不依赖第三方工具，靠活动监视器+终端命令就能定位并切断源头。
