chocaine, да, в бинах изменено только название "ChickHEN" на "speed3".
Ну и создающиеся после активации файлы тоже заменили названия "egghunt.bin" на "sspeedd.bin".
Вот и вся разница.
Но дело не в этих бинарниках, которые в случае срабатывания TIFF-эксплоита из картинки, загружают кастомный модуль, позволяющий запускать неподписанные приложения.
Дело как раз в TIFF-картинке. В конце картинки, где начинается программный код, они зачем-то обнулили первые 40 байт кода.
И перед ссылкой "ms0:/speed.bin" почистили остатки шрифта, который повторяется всю картинку.