Hast du das Passwort nach dem Doppelklick auf die Zip-Datei eingegeben?

Guck mal in

/Library/LaunchAgents
/Library/LaunchDaemons

sowohl in der Haupt- als auch in der User-Library, ob dort ungewöhnliche Dateien drin sind.
Vielleicht kannst du die Datei auch nach dem Datum der Installation identifizieren.

Für die Zukunft: Nie auf solche Anhänge klicken !!