rule Linux_Backdoor_BPFDoor : tc_detection malicious { meta: author = "ReversingLabs" source = "ReversingLabs" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" malware = "BPFDOOR" description = "Yara rule that detects BPFDoor backdoor." tc_detection_type = "Backdoor" tc_detection_name = "BPFDoor" tc_detection_factor = 5 strings: $packet_loop_v1_p1 = { 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 D7 48 89 DE 48 89 C1 F3 48 A5 66 C7 85 ?? ?? FF FF ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 C0 89 C2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 90 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D 9D ?? ?? ?? ?? 8B 45 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 0F B6 00 0F B6 C0 83 E0 ?? C1 E0 ?? 89 45 ?? 83 7D ?? ?? 7F ?? 90 EB ?? 48 8B 45 ?? 0F B6 40 ?? 0F B6 C0 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? E9 ?? ?? ?? ?? 8B 45 ?? 48 98 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? 0F B6 40 ?? C0 E8 ?? 0F B6 C0 C1 E0 ?? 89 45 ?? 8B 45 ?? 48 63 D0 8B 45 ?? 48 98 48 8D 04 02 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? EB ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? EB ?? 48 8B } $packet_loop_v1_p2 = { 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 8B 40 ?? 83 F8 ?? 75 ?? 48 8B 45 ?? 8B 40 ?? 89 45 ?? EB ?? 48 8B 45 ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 45 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 EC 00 00 00 00 48 C7 85 70 FC FF FF 00 00 00 00 48 C7 85 78 FC FF FF 00 00 00 00 C7 85 80 FC FF FF 00 00 00 00 C6 85 50 FC FF FF 2F C6 85 51 FC FF FF 75 C6 85 52 FC FF FF 73 C6 85 53 FC FF FF 72 C6 85 54 FC FF FF 2F C6 85 55 FC FF FF 6C C6 85 56 FC FF FF 69 C6 85 57 FC FF FF 62 C6 85 58 FC FF FF 65 C6 85 59 FC FF FF 78 C6 85 5A FC FF FF 65 C6 85 5B FC FF FF 63 C6 85 5C FC FF FF 2F C6 85 5D FC FF FF 70 C6 85 5E FC FF FF 6F C6 85 5F FC FF FF 73 C6 85 60 FC FF FF 74 C6 85 61 FC FF FF 66 C6 85 62 FC FF FF 69 C6 85 63 FC FF FF 78 C6 85 64 FC FF FF 2F C6 85 65 FC FF FF 6D C6 85 66 FC FF FF 61 C6 85 67 FC FF FF 73 C6 85 68 FC FF FF 74 C6 85 69 FC FF FF 65 C6 85 6A FC FF FF 72 C6 85 6B FC FF FF 00 E8 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D } $packet_loop_v1_p3 = { 95 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C1 48 8B 45 ?? 48 83 C0 ?? BA ?? ?? ?? ?? 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C1 48 8B 45 ?? 48 83 C0 ?? BA ?? ?? ?? ?? 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 85 C0 74 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 8B 40 ?? 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 C7 E8 ?? ?? ?? ?? 0F B7 D0 48 8D 85 ?? ?? ?? ?? 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 D0 8B 45 ?? 89 D6 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 7E ?? 8B 45 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 D0 8B 45 } $reverse_shell_v1_p1 = { 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B C9 C3 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 90 EB ?? 90 EB ?? 90 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 9D ?? ?? ?? ?? 48 89 D1 48 89 DF FC F3 48 AB 89 F8 89 CA 89 55 ?? 89 45 ?? 8B 05 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 89 C2 48 8B 84 C5 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 E1 ?? BB ?? ?? ?? ?? 48 89 DE 48 D3 E6 48 89 F1 48 09 C8 48 89 84 D5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 89 C2 48 8B 84 C5 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 E1 ?? BB ?? ?? ?? ?? 48 89 DF 48 D3 E7 48 89 F9 48 09 C8 48 89 84 D5 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7E ?? 8B 05 ?? ?? ?? ?? 83 C0 ?? EB } $reverse_shell_v1_p2 = { 8B 85 ?? ?? ?? ?? 83 C0 ?? 48 8D 9D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 8B 84 C5 ?? ?? ?? ?? 48 89 C2 8B 05 ?? ?? ?? ?? 83 E0 ?? 48 89 D3 89 C1 48 D3 EB 48 89 D8 83 E0 ?? 84 C0 74 ?? 8B 05 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 55 ?? 48 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 8E ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 8B 84 C5 ?? ?? ?? ?? 48 89 C2 8B 85 ?? ?? ?? ?? 83 E0 ?? 48 89 D3 89 C1 48 D3 EB 48 89 D8 83 E0 ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 48 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 29 C2 8B 45 ?? 8D 04 02 89 45 ?? 83 7D ?? ?? 7E ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 8B 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 83 7D ?? ?? 7F ?? B8 ?? ?? ?? ?? 89 C2 2B 55 ?? 8B 45 ?? 48 63 C8 48 8D 85 ?? ?? ?? ?? 48 01 C8 8B } $reverse_shell_v1_p3 = { 8D ?? ?? ?? ?? 48 89 C6 89 CF E8 ?? ?? ?? ?? 89 45 ?? 66 C7 85 ?? ?? FF FF ?? ?? 0F B7 85 ?? ?? ?? ?? 66 89 85 ?? ?? FF FF 0F B6 85 ?? ?? ?? ?? 0F B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 8D 04 02 66 89 85 ?? ?? FF FF 0F B6 85 ?? ?? ?? ?? 0F B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 8D 04 02 66 89 85 ?? ?? FF FF 8B 05 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 29 C6 48 89 F0 48 89 C2 8B 05 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8D 85 ?? ?? ?? ?? 89 C2 8B 45 ?? 01 C2 48 8B 45 ?? 89 D7 29 C7 89 F8 83 E8 ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 8B 45 ?? 48 8D 48 ?? 8B 05 ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 48 63 D0 8B 05 ?? ?? ?? ?? 48 8B 4D ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 48 85 C0 0F 8F ?? ?? ?? ?? EB ?? 90 EB ?? 90 EB ?? 90 EB ?? 90 8B 85 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 } $set_process_name_v1_p1 = { 55 48 89 E5 48 83 EC ?? 89 7D ?? 48 89 75 ?? 48 89 55 ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 89 05 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 03 45 ?? 48 83 C0 ?? 48 89 45 ?? 83 45 ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 75 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 ?? ?? ?? ?? 8B 4D ?? 48 63 C9 48 C1 E1 ?? 48 01 C8 48 8B 08 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 8D 14 10 48 8B 45 ?? 48 89 02 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 } $set_process_name_v1_p2 = { 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 89 45 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 48 98 48 C1 E0 ?? 48 03 45 ?? 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? C7 45 ?? ?? ?? ?? ?? EB ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 75 ?? 48 8B 55 ?? 48 8B 05 ?? ?? ?? ?? 48 89 D1 48 29 C1 48 89 C8 48 89 C2 48 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 05 ?? ?? ?? ?? 48 89 D1 48 29 C1 48 89 C8 48 89 C2 48 8B 4D ?? 48 8B 05 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? C9 C3 } $packet_loop_v2_p1 = { 55 89 E5 57 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 C0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 0F B6 00 0F B6 C0 83 E0 ?? C1 E0 ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 0F B6 40 ?? 0F B6 C0 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? EB ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B 45 ?? 8D 04 02 89 45 ?? 8B 45 ?? 0F B6 40 ?? 0F B6 C0 25 ?? ?? ?? ?? C1 F8 ?? C1 E0 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B 45 ?? 01 C2 8B 45 ?? 8D 04 02 89 45 ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 83 C0 } $packet_loop_v2_p2 = { 89 45 ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 83 F8 ?? 75 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? EB ?? 8B 45 ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 9C FC FF FF 2F C6 85 9D FC FF FF 75 C6 85 9E FC FF FF 73 C6 85 9F FC FF FF 72 C6 85 A0 FC FF FF 2F C6 85 A1 FC FF FF 6C C6 85 A2 FC FF FF 69 C6 85 A3 FC FF FF 62 C6 85 A4 FC FF FF 65 C6 85 A5 FC FF FF 78 C6 85 A6 FC FF FF 65 C6 85 A7 FC FF FF 63 C6 85 A8 FC FF FF 2F C6 85 A9 FC FF FF 70 C6 85 AA FC FF FF 6F C6 85 AB FC FF FF 73 C6 85 AC FC FF FF 74 C6 85 AD FC FF FF 66 C6 85 AE FC FF FF 69 C6 85 AF FC FF FF 78 C6 85 B0 FC FF FF 2F C6 85 B1 FC FF FF 6D C6 85 B2 FC FF FF 61 C6 85 B3 FC FF FF 73 C6 85 B4 FC FF FF 74 C6 85 B5 FC FF FF 65 C6 85 B6 FC FF FF 72 C6 85 B7 FC FF FF ?? E8 ?? ?? ?? ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 8D 50 ?? A1 ?? ?? ?? ?? 89 C7 FC 89 D1 B8 ?? ?? ?? ?? F3 AA 8B 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 } $packet_loop_v2_p3 = { 44 24 ?? 89 14 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 83 E8 ?? 89 C2 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 83 E8 ?? 89 C2 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 0F B7 C0 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 83 F8 ?? 74 ?? 8B 45 ?? 8B 40 ?? 85 C0 74 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? 8B 45 ?? C7 40 ?? ?? ?? ?? ?? 8B 45 ?? C7 00 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 7E ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 } $reverse_shell_v2_p1 = { 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 } $reverse_shell_v2_p2 = { E8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? FC F3 AB 89 4D ?? 89 7D ?? A1 ?? ?? ?? ?? 89 C2 C1 EA ?? A1 ?? ?? ?? ?? 83 E0 ?? 0F AB 84 95 ?? ?? ?? ?? 8B 45 ?? 89 C2 C1 EA ?? 8B 45 ?? 83 E0 ?? 0F AB 84 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 3B 45 ?? 7E ?? A1 ?? ?? ?? ?? 83 C0 ?? 89 85 ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 8D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 C2 83 E2 ?? A1 ?? ?? ?? ?? C1 E8 ?? 0F A3 94 85 ?? ?? ?? ?? 0F 92 C0 84 C0 74 ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 C2 83 E2 ?? 8B 45 ?? C1 E8 ?? 0F A3 94 85 ?? ?? ?? ?? 0F 92 C0 84 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8D 85 ?? ?? ?? ?? 29 C2 8B 45 ?? 29 D0 89 45 ?? 83 7D ?? ?? 7E ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? 8B 55 ?? 89 C7 89 D6 FC F3 A4 83 7D ?? ?? 7F ?? B8 ?? ?? ?? ?? 89 } $reverse_shell_v2_p3 = { C1 2B 4D ?? 8B 45 ?? 89 C2 8D 85 ?? ?? ?? ?? 01 D0 89 4C 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 8D 04 02 66 89 85 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 8D 04 02 66 89 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 85 ?? ?? ?? ?? 89 D1 29 C1 89 C8 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 C2 03 55 ?? 8B 45 ?? 83 C0 ?? 89 D1 29 C1 89 C8 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 83 C2 ?? 8B 0D ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? 89 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? ?? 85 C0 7E ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5E 5F 5D C3 } $set_process_name_v2_p1 = { 55 89 E5 57 56 53 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 00 A3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 03 45 ?? 83 C0 ?? 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 48 ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 10 8B 45 ?? 89 C7 89 D6 FC F3 A4 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 01 C2 8B 45 ?? 89 02 8B 5D ?? 83 C3 ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D } $set_process_name_v2_p2 = { F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 03 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B 00 89 45 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 55 ?? 83 C2 ?? 8B 45 ?? C1 E0 ?? 03 45 ?? 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 02 89 45 ?? 83 45 ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 5D ?? 83 C3 ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 03 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 75 ?? 8B 55 ?? A1 ?? ?? ?? ?? 89 D1 29 C1 89 C8 89 C2 A1 ?? ?? ?? ?? 89 C7 FC 89 D1 B8 ?? ?? ?? ?? F3 AA 8B 55 ?? A1 ?? ?? ?? ?? 89 D7 29 C7 89 F8 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 5B 5E 5F 5D C3 } condition: uint32(0) == 0x464C457F and ( ( ( all of ($packet_loop_v1_p*) ) and ( all of ($reverse_shell_v1_p*) ) and ( all of ($set_process_name_v1_p*) ) ) or ( ( all of ($packet_loop_v2_p*) ) and ( all of ($reverse_shell_v2_p*) ) and ( all of ($set_process_name_v2_p*) ) ) ) }