Mac频繁死机、内核恐慌或启动卡苹果标，若终端出现大量kext错误日志，极大概率是第三方恶意或失效内核扩展所致；需用sudo kextstat筛选可疑项并卸载，再清理/Library/Extensions/中未签名或含inject/driver等关键词的.kext，同步清除/var/db/KernelExtensionManagement/策略、重建kext缓存，并停用关联LaunchDaemon及进程。
Mac频繁死机、内核恐慌（panic）、启动卡在苹果logo或反复重启，若伴随终端中出现大量kext相关错误日志，极大概率是第三方恶意或失效内核扩展在底层破坏系统稳定性。这类kext往往绕过公证、伪造签名、劫持I/O Kit接口，不能靠普通卸载流程清除。
确认恶意Kext正在加载并强制卸载
打开“终端”，执行：
sudo kextstat | grep -v com.apple
重点筛查输出中含 【not valid】、【code signing failure】、【path not found】 或 Bundle ID 呈现随机字符串（如 com.xxxx.abc123def）、含 driver/usb/storage/raid 等关键词但无对应已知软件的条目。
对任一可疑条目，记录其完整 Bundle ID（例如 com.malware.driver.XYZ），执行卸载：
sudo kextunload -b com.malware.driver.XYZ
若返回 “no such file or directory”，说明该kext当前未运行但磁盘残留；若返回 “operation not permitted”，说明SIP拦截或已加载失败但仍驻留——此时必须进入下一步物理删除。
定位并删除/Library/Extensions/中的恶意.kext文件
在“访达”中按 Command+Shift+G，输入：
/Library/Extensions/
按“修改日期”倒序排列，优先检查创建时间早于 macOS 14.0（2023年）且图标呈灰色、右键“显示简介”提示“无法验证开发者”的 .kext 文件夹。
方法一：签名验证法
在终端中逐个执行：
codesign -dv /Library/Extensions/XXX.kext
若输出含 “code object is not signed” 或 “certificate has expired”，立即标记为高危。
方法二：路径特征法
直接筛选名称含 random、inject、hook、patch、driver、sys、core、io、kext、drv 等字样的文件夹——这些是恶意kext常用命名套路，正常商业驱动极少用此类词组合。
选中确认恶意的 .kext 文件夹，拖入废纸篓；系统会要求输入管理员密码，【输错三次将触发FileVault锁定】。
清除内核扩展管理策略与缓存索引
第一步：清空内核扩展授权数据库
执行：
sudo sqlite3 /var/db/SystemPolicyConfiguration/KextPolicy "DELETE FROM kext_policy WHERE bundle_id LIKE '%malware%' OR bundle_id LIKE '%random%' OR bundle_id LIKE '%inject%';"
第二步：删除废弃策略文件
执行：
sudo rm -f /var/db/KernelExtensionManagement/Staging/*
第三步：强制重建启动缓存
执行：
sudo rm -rf /System/Library/Caches/com.apple.kext.caches/Startup/*
sudo kextcache -invalidate / && sudo kextcache -update-volume /
这一步必须完成，否则重启后系统可能从缓存中重新加载已被删除的kext元数据，导致“删了又回来”。
停用关联的LaunchDaemon与后台进程
恶意kext常配套自启守护进程，藏在两个位置：
• 系统级：/Library/LaunchDaemons/
• 用户级：~/Library/LaunchAgents/
在“访达 → 前往 → 前往文件夹”中分别输入以上路径，用搜索栏输入关键词：
malware、inject、hook、driver、sys、xyz、随机字符串（如 abc123、qwe789）
找到匹配的 .plist 文件后，先停用再删除：
sudo launchctl unload /Library/LaunchDaemons/com.malware.xxx.plist
launchctl unload ~/Library/LaunchAgents/com.malware.xxx.plist
停用无报错后，将对应 .plist 文件拖入废纸篓。
最后，在“活动监视器”中搜索相同关键词，强制退出所有残留进程（如 xxxHelper、xxxDaemon、xxxAgent）。
