Malware installeert zichzelf hardnekkig, zodat het automatisch wordt uitgevoerd elke keer dat een computer opnieuw wordt opgestart. KnockKnock brengt hardnekkig geïnstalleerde software aan het licht om dergelijke malware generiek te onthullen.
anchor apple generic and identifier "com.objective-see.KnockKnock" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = VBG97UB4TA)