Файл с именем как у фото из WhatsApp, расширение .pif вместо .jpg, и совершенно чистая репутация на VirusTotal. Внутри — четыре ступени тщательно спроектированной атаки: загрузчик с настоящим корпоративным EV-сертификатом, шеллкод, спрятанный в файле
иконок, нестандартный TCP-протокол рукопожатия и в финале — классический китайский бэкдор PlugX/Gh0stRAT с полным контролем над системой.

В этой статье я разбираю всю цепочку статическими методами на Linux, без запуска вредоноса. Никакой виртуальной машины с поведенческим анализом — только strings, pefile, ndisasm и Python. Там, где встречается ассемблерный код, объясняю что происходит
обычным языком.

Самое интересное: финальный бэкдор известен и описан, но инфраструктура доставки — домен, загрузчик, сертификат — нигде раньше не фигурировала.