图2-2-9 藏有最新版本Bot程序的图片
图2-2-10 图片中监测到的PE文件特征
my1.html是一个批处理脚本，功能与Cracker:mssql模块释放的批处理脚本123.dat基本相同，主要是创建一些需要的文件夹并为之后Cracker模块配置环境。
完成下载之后，cabs.exe会结束Bot程序的进程和服务，更新相关文件之后再重启Bot进程和服务。
scanner模块修改自masscan（github：https://github.com/robertdavidgraham/masscan）。masscan是一个快速、灵活的端口扫描器，在windows下发包速度可达到每秒30万包。
在调用scanner模块进行扫描之前，Bot程序会配置一个excludefile，该文件指定ip段黑名单，在该范围中的ip地址将不会被扫描。ip黑名单以字符串的形式存放在Bot程序的资源段中，scanner模块在临时文件夹下创建excludefile，读取资源后将ip黑名单写入excludefile。
图2-3-1 读取ip黑名单资源并写入excludefile
在Bot程序2017年四月份编译的1.0.0.2版本和五月份编译的1.0.0.3版本的其中一个变种中未发现ip黑名单，在五月份编译的1.0.0.3版本的另一个变种中发现了ip黑名单。
图2-3-2 存放在Bot程序资源段中的ip黑名单
对于每一个a类ip，scaner模块排除掉部分b段。由于全网扫描容易遭到监控，通过排除部分ip地址可以减少被发现的风险。
