Злоумышленники могут внести изменения в операционную систему сетевого устройства, чтобы добавить новые функции или ослабить существующую защиту. Некоторые сетевые устройства имеют монолитную архитектуру, где операционная система и большинство функций содержатся в одном файле. Злоумышленники могут изменить этот файл в хранилище для последующей загрузки или непосредственно в памяти во время работы устройства.

Чтобы изменить операционную систему в хранилище, могут использоваться стандартные процедуры, доступные операторам устройств. Например, новый файл может быть загружен через типичные протоколы, доступные на сетевых устройствах, такие как TFTP, FTP и SCP, или с помощью консольного соединения. Исходный файл может быть перезаписан или заменен, после чего устройство будет перенастроено для загрузки скомпрометированного образа.

Чтобы изменить операционную систему в памяти, злоумышленники обычно используют один из двух методов. В первом случае злоумышленники могут применить команды, предназначенные для отладки операционной системы и встроенные в ее оригинальную, неизмененную версию, чтобы напрямую изменять данные в памяти по нужным адресам прямо во время работы ОС. Этот метод обычно требует административного уровня доступа к устройству.

Во втором методе злоумышленники используют загрузчик ОС для изменения операционной системы в памяти. Загрузчик ОС — это программа, которая запускается первой при включении устройства и затем загружает операционную систему. Злоумышленники могут использовать вредоносный код, внедренный в загрузчик, чтобы напрямую манипулировать кодом операционной системы в памяти, как в технике ROMMONkit. Вредоносный код, внесенный в загрузчик, позволяет злоумышленникам напрямую манипулировать памятью и изменять операционную систему во время ее работы.

Изменяя инструкции в файле образа системы, они могут ослабить существующую защиту или добавить новые функции, которых устройство не имело ранее. Например, можно ослабить такие существующие средства защиты, как шифрование (понижение надежности шифрования), аутентификация (аутентификация на сетевых устройствах) и защита периметра (преодоление границ сети). Злоумышленник может добавить, в зависимости от своих задач, такие возможности, как регистрация нажатий клавиш, создание цепочки прокси-серверов и простукивание портов.

Также злоумышленники могут скомпрометировать существующие команды в операционной системе, чтобы они выводили ложные данные и вводили защитников в заблуждение. Например, если этот метод используется вместе с понижением версии образа системы, может быть скомпрометирован вывод команды, показывающей текущую версию операционной системы. Путем модификации операционной системы злоумышленник может изменить команду так, чтобы она показывала исходный (более высокий) номер версии вместо более ранней версии, на которую был выполнен откат.

Для изменения файла операционной системы в хранилище может потребоваться модификация физического хранилища (обычно энергонезависимой флеш-памяти) либо загрузка по TFTP.

Если этот метод применяется к работающей операционной системе в памяти, а не к сохраненной копии, изменения не сохраняются после перезагрузки. Однако модификацию оперативной памяти операционной системы можно сочетать с техникой ROMMONkit, чтобы добиться закрепления в системе.