文件介绍1.1 游戏盒子捆绑下发原理
游戏盒子在用户点击下载按钮时会调用startdownGame函数，该函数第一行即是调用poget（下载DDos病毒）函数的代码。
下载游戏函数
该poget函数会从云控配置中读取speed_url与speed_url2字段，从中解析出病毒SHA1、主域名、文件路径及下载文件名等信息。随后，程序通过cefQuery通信接口向宿主端（steamall.exe）发送js_aria2_download、js_changeFileName、RunExe等命令，依次完成 DDoS病毒的下载、重命名及执行操作。
下载病毒并执行js_aria2_download：下图为前端（chrome.exe）发送的RPC/JSON请求数据，从而将下载任务发送至宿主端（steamall.exe）处理该请求，最终调用bin.exe（即 aria2 下载组件）下载文件。
下载文件js_changeFileName：该指令最终会使 steamall.exe 进程利用 MoveFileExW 函数将下载好的 192.168.0.71 文件改名为 BeService.exe。
修改文件名解密云控配置后可以发现存在以下字段，分别含义如下：云控配置字段说明
下面是三种不同样本获取到的云控配置，分析初期获取到的是攻击cool666.top网址的云控配置，故猜测该盒子主要攻击同类型提供游戏服务的同行业竞争者，但后续发现并不只有Steam 入库服务网址，还有一些其他无法识别的网址。Kxe=
md5=3F1F86ECEA840D3596A8FF0A4BC98D1D
ShowConsole=0
RT=20
AutoStart=1
[1]
Url=https://get.cool666.top/steam/SteamTools
Method=POST
Threads=1
Delay=1000
POST /steam/SteamTools HTTP/1.1
Connection: keep-alive
Accept: */*
Host: get.cool666.top
Accept-Encoding: gzip, deflate
Content-Length: 0
Body=page=4&pageSize=50&keyword=
Kxe=
md5=3F1F86ECEA840D3596A8FF0A4BC98D1D
ShowConsole=0
RT=60
AutoStart=1
[1]
Url=http://103.45.162.22:443
Method=GET
Threads=10
Delay=1000
Method=GET
[2]
Url=http://110.42.65.132:443
Method=GET
Threads=10
Delay=1000
Method=GET
[3]
Url=http://211.154.31.195:443
Method=GET
Threads=10
Delay=1000
Method=GET
[4]
Url=ws://steamclould.cn:8080/
Method=WS
Threads=15
Delay=1000
[5]
Url=http://103.120.90.75:443
Method=GET
Threads=15
Delay=1000
Method=GET
ShowConsole=0
RT=61
AutoStart=1
[1]
Url=183.136.132.43:443
mode=tcp
Threads=5
Delay=1000
[2]
Url=211.154.31.195:443
mode=tcp
Threads=30
Delay=1000
[3]
Url=103.120.90.75:443
mode=tcp
Threads=30
Delay=1000
最终会通过解析得到的云控配置规则进行循环访问或发送数据，使被攻击的服务过载，进而拒绝服务。
