Злоумышленники могут изменить бинарные файлы ПО на хосте для закрепления в системе. Исполняемые и другие бинарные файлы ПО позволяют пользоваться широким спектром системных команд, служб, программ и библиотек. К распространенным бинарным файлам относятся SSH-клиенты, FTP-клиенты, почтовые клиенты, веб-браузеры и множество других пользовательских и серверных приложений.

Злоумышленники могут модифицировать бинарные файлы ПО на узле для закрепления в системе. Например, злоумышленник может заменить легитимный бинарный файл приложения (или вспомогательные файлы) бэкдором или внедрить в него бэкдор. Как правило, приложения или пользователи регулярно обращаются к таким бинарным файлам, поэтому злоумышленник может использовать их для постоянного доступа к устройству.

Злоумышленник также может модифицировать существующий бинарный файл, внедрив в него вредоносные функции (например, используя техники подмены адресов в таблице IAT или изменения точки входа) перед его легитимным выполнением. Например, злоумышленник может изменить точку входа бинарного файла таким образом, что сначала будет выполняться вредоносный код, внедренный злоумышленником, а затем — легитимный код программы.