Environ
os.environ
sirve para acceder al entorno de ejecución del programa.
Cuando lanzas un script python desde una shell, todas las variables de entorno definidas en esa shell están accesibles al programa a través de os.environ()
.
Por ejemplo, imagina que lanzo un script desde bash de la siguiente forma (en Windows sería la misma idea, pero las variables de entorno se asignan de otro modo):
$ export MI_VARIABLE="Hola que tal"
$ python mi_script.py
Desde el código de mi_script.py
puedo acceder al valor de la variable de entorno MI_VARIABLE
en la forma siguiente:
valor = os.environ.get("MI_VARIABLE", None)
if valor:
print(valor)
En realidad os.environ
devuelve un diccionario Python, cuyas claves son todas las variables de entorno, por lo que también sería válido hacer:
print(os.environ["MI_VARIABLE"])
el problema de este segundo código es que si esa variable no existe en el entorno, el diccionario carecerá de esa clave, y el intento de acceder a ella generará una excepción. En cambio usando .get("MI_VARIABLE", None)
estamos suministrando un valor por defecto para el caso en que esa variable no exista (yo he puesto None
pero puedes poner cualquier otro).
Tu código
Respecto a lo que hace el resto del código, se trata de un troyano que instala una puerta trasera. La primera vez que arranca copia el ejecutable en una cierta carpeta y modifica el registro windows para que vuelva a cargar este troyano cada vez que Windows se reinicie. Después abre una shell reversa conectándose a un proxy (o intentando hacerlo, reintentando cada 5 segundos). root_check
verifica si el usuario que ejecuta el script tiene permisos de administrador. El estilo de programación es un tanto descuidado.
No voy a darte detalles de cómo funciona antes de saber para qué es esto. Instalar troyanos en máquinas de otros sin su permiso es ilegal.
Más detalles (ampliación)
La variable de entorno "appdata"
suele estar predefinida en Windows por el propio sistema y apunta a una carpeta (del usario que esté en ese momento logueado) en la que las aplicaciones almacenan sus datos (ej: donde los navegadores almacenan sus cachés, etc)
Puedes ver el valor de esta variable si abres una terminal Windows y pones:
echo %appdata%
C:\Users\abulafia\AppData\Roaming
Supongo que este script la usa para averiguar una carpeta que exista y en la que pueda escribir sin problemas (pues pertenece al usuario que está ejecutando el script).
Mediante if not os.path.exists(location):
se evita volver a copiar el ejecutable si ya estaba allí. Por tanto sólo se copiará la primera vez. También, si es la primera vez que se ejecuta (lo que se detecta porque el troyano ya está copiado en su destino) se usa el comando reg add
para añadir al registro de sistema una clave. Esta clave en cuestión es para que el ejecutable copiado en appdata vuelva a cargarse cada vez que Windows arranque.
En cuanto a la variable de entorno systemroot
es la que contiene el nombre de la carpeta en que Windows está instalado. Normalmente su valor es C:\Windows
. Y de hecho este es el valor que el script toma por defecto si la variable no existe.
Lo único que tiene de especial esa carpeta es que está protegida para evitar que el usuario accidentalmente borre algún componente vital de Windows. Así que el script usa ese truco para saber si el usuario es admin. Simplemente intenta leer de C:\Windows\temp
y si no lo consigue (porque se genera una excepción) es que no es administrador. Esa información la guarda, supongo que para mostrársela al hacker cuando entre mediante el shell remoto.