ключ, как я уже сказал, получаем по сети. Это будет своеобразная команда с C&C об активности кампании. Как все сделали - сервак вырубаем. Если трафик не логировался, то и ключ не спалят. И пейлоад не достанут.
Интересно, а есть ли смысл вместо сальсы взять магму в ctr-режиме? Таблицу замен генерировать каким-нибудь линейным конгруэнтным генератором с константным seed