分析shellcode
ctypes是 Python 的外部函数库。它提供了与 C 兼容的数据类型，并允许调用 DLL 或共享库中的函数。可使用该模块以纯 Python 形式对这些库进行封装。在C/C++语言中，通过申请内存将shellcode加载到内存中进行执行，在Python语言中通过ctypes模块将shellcode加载到内存并执行。
内存申请
ctypes.windll.kernel32.VirtualAlloc函数。VirtualAlloc是Windows提供的API，通常用来分配大块的内存。
VirtualAlloc函数原型：
调用kernel32.dll动态链接库中的VirtualAlloc函数申请内存，0x3000代表MEM_COMMIT | MEM_RESERVE，0x40代表可读可写可执行属性。
RtlMoveMemory从指定内存中复制内存至另一内存里 ，语法如下：
CreateThread创建一个新线程
系统将创建一个进程和一个主线程。CreateThread将在主线程的基础上创建一个新线程，大致做如下步骤：
1.在内核对象中分配一个线程标识/句柄，可供管理，由CreateThread返回
2. 把线程退出码置为STILL_ACTIVE，把线程挂起计数置1
3. 分配context结构
4. 分配两页的物理存储以准备栈，保护页设置为PAGE_READWRITE，第2页设为PAGE_GUARD
5. lpStartAddr和lpvThread值被放在栈顶，使它们成为传送给StartOfThread的参数
6. 把context结构的栈指针指向栈顶（第5步）指令指针指向startOfThread函数
WaitForSingleObject等待创建的线程，里两个参数，一个是创建的线程，一个是等待时间。正常的话我们创建的线程是需要一直运行的，所以将时间设为负数，等待时间将成为无限等待，程序就不会结束。
进行排察工作，通过手工逐行删除文件定位特征码，发现删除第三行或第四行后发现不再报毒，所以将这两句进行混淆。所有的作者将所有的shellcode进行编码。
使用pyinstaller打包
使用pyinstaller -F -w -i a3.ico horse.py打包为horse.exe
