该款木马分析文章在2015年由@PETER KáLNAI 最先发表于AVAST的公开blog中，木马的架构严谨，设计精良，应该是产业化的一部分。接下来我们就来看一下这款木马的具体的感染，命令执行和持久化的思路，希望能给我们搞防御的小伙伴扩充一点防御思路。
安装脚本&感染媒介
木马的最初感染方式十分传（dou）统（bi），他是通过暴力登录SSH服务获取root权限的方式来成功搞下感染体的（这里就体现了一个高质量的字典的重要程度了）。成功拿下root权限之后，攻击者就会向目标机器通过shell的方式利用脚本传递执行安装一个木马。这个脚本文件主要包括一些程序如main, check, compiler, uncompress, setup, generate, upload, checkbuild和一些变量如 __host_32__, __host_64__, __kernel__, __remote__等。主程序的作用是根据感染目标机器的系统开发版本加密传输并且选择C&C服务器。
在下面的请求中，iid参数传递的是内核版本名称的MD5哈希。脚本首先用lsmod命令列本机所有的模块信息，然后，提取名称和vermagic字段。在我们测试的环境中，被测试的环境是“3.8.0-19-generic SMP mod_unload modversions 686 ”，对应的MD5是CE74BF62ACFE944B2167248DD0674977。
接下来，就有三个GET请求被发送到C&C服务器上。
第一个是表明目标机器运行的操作系统的信息：
request: GET /check?iid=CE74BF62ACFE944B2167248DD0674977&kernel=3.8.0reply: 1001|CE74BF62ACFE944B2167248DD0674977|header directory is exists!
然后，compiler程序会发送第二个GET请求:请求中包括的字段我们猜测应该有C&C服务器，版本信息等，通过这个带有本机特定版本信息的请求，服务器可以据此生成一个可执行程序：
小编推荐阅读《明日方舟》最强先锋干员推荐指南（打造最强先锋战队，从干员推荐到培养全解析）
阅读《魔兽世界》怀旧服技巧指南大全（挑战圣光的召唤任务，为部落联盟赢取荣誉）
阅读探寻江湖中的宝藏——寻找《烟雨江湖》西子君剑线索的攻略技巧最新（游戏中怎样获得西子君剑线索？）
阅读星露谷物语下水道屏障破解攻略技巧指南（助你轻松突破下水道难关，快速获得丰厚奖励）
阅读《燃烧意志路奇加点攻略技巧指南》（航海王游戏中路奇如何加点，最新推荐汇总）
阅读王者荣耀史诗皮肤卡意思一览大全（探索王者荣耀史诗皮肤的故事，了解背后的涵义）
阅读《重返深渊锁镰》武器攻略大全最新（每把武器攻略，助你通关游戏）
阅读《DNF》游戏牛郎星的光辉快速获得攻略技巧（跨越星际尽享荣耀）
阅读探秘梦幻模拟战手游雾风的技能属性攻略（雾风技能解析，让你成为游戏中的绝佳战士）
阅读怎样选择合适的门派成为《我的侠客》游戏高手？（掌握门派特点，选择最佳武功路线）
阅读《以阴阳师樱之忆为例，详解如何预约樱之忆》（预约方法、注意事项、常见问题讲解）
阅读
