原po內容大多來自Cisco的第一份分析
這是Cisco的第二份分析，裡面有追加機種
https://blog.talosintelligence.com/2018/06/vpnfilter-update.html?m=1
以及SOPHOS的分析
https://news.sophos.com/en-us/2018/05/27/vpnfilter-botnet-a-sophoslabs-analysis-part-2/
大略看了一下
1. 一堆迂迴方法到一些網址更新
2. 即使所有網址都被封了，也會設定排程，在某時間偷偷開後門，等著被掃描然後更新
3. 偷塞憑證監聽https加密
4. 擁有自殺指令
5. 能讀取MTD目前沒作用，但這表示可以自我刷機或把路由器清零掛了它
6. 還沒人找到它到底是怎麼感染的
7. Cisco的名單中有ac66u，Asus大多主流機種韌體都是跟這同模型，所以…
8. SOPHOS的第一個樣本來自於臺灣XD，臺灣是第一梯隊XD
9. 由於排程會寫進nvram，所以更新韌體後要清除nvram回覆出廠設定才能保證乾淨