O script também tenta encontrar dispositivos acessíveis, com base na saída do comando ip route, que mostraria rotas para redes acessíveis. Essa informação é então passada para a ferramenta pnscan para uma varredura dos daemons SSH ativos na rede. As chaves encontradas no sistema são usadas para tentativas de autenticação nos dispositivos recém-descobertos. Se essas tentativas forem bem-sucedidas, o mesmo payload é implantado nos novos dispositivos e o ataque se propaga.
Figura 4. O script malicioso executa uma varredura de daemons SSH ativos em uma rede infectada e tenta usar chaves roubadas para acessar dispositivos conectados à rede
A plataforma de destino binária é composta por CPUs baseadas no conjunto de instruções x86-64. A primeira camada de todos esses binários é compactada pelo conhecido UPX packer.