Linux_Backdoor_Sshdinjector

YARA-2025-0300 High general Active

Yara rule that detects Sshdinjector backdoor.

Linux_Backdoor_Sshdinjector.yar Valid Syntax

rule Linux_Backdoor_Sshdinjector : tc_detection malicious
{
    meta:

        author              = "ReversingLabs"

        source              = "ReversingLabs"
        status              = "RELEASED"
        sharing             = "TLP:WHITE"
        category            = "MALWARE"
        malware             = "SSHDINJECTOR"
        description         = "Yara rule that detects Sshdinjector backdoor."

        tc_detection_type   = "Backdoor"
        tc_detection_name   = "Sshdinjector"
        tc_detection_factor = 5

    strings:

        $kill_and_restart_daemons_p1 = {
            55 48 89 E5 48 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D 55
            ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83 C2 ?? 48 8D
            95 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83
            C2 ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7
            40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48
            89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8
            ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48
            8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ??
            ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ??
            ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ??
            E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8
            ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74
        }

        $kill_and_restart_daemons_p2 = {
            48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48
            8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ??
            48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48
            89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ??
            E8 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 94 C0 84 C0 0F 84 ??
            ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 81 7D
            ?? ?? ?? ?? ?? 0F 9E C0 84 C0 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 48 8D 45
            ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7
            E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF
            ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ??
            ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF
            ?? ?? ?? ?? E8 ?? ?? ?? ?? C9 C3
        }

        $network_communication_p1 = {
            55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ??
            48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ??
            ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8D 78 ?? E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 ??
            ?? ?? ?? 48 8D 04 02 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48
            8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48
            89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48
            03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C2 48 8B 05 ?? ?? ?? ??
            66 89 10 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ??
            ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8D
            71 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 0F B7 00 0F B7 C8 0F B7 55 ?? 0F
            B7 45 ?? 41 89 C8 89 D1 89 C2 48 8B 05 ?? ?? ?? ?? 48 8D 70 ?? 48 8D 3D ?? ?? ?? ??
            B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05
            ?? ?? ?? ?? 0F B7 00 66 85 C0 0F 84 ?? ?? ?? ?? 44 0F B7 65 ?? 0F B7 5D ?? 48 8D 45
            ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 CE 48
        }

        $network_communication_p2 = {
            89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ?? ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE
            48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3
            49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 89 D3 49 89 C4
            48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D
            45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 44
            0F B7 65 ?? 0F B7 5D ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ??
            ?? ?? ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ??
            ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48
            89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89
            E0 48 63 D3 EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63
            D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7
            E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3
        }

        $read_etc_shadow_p1 = {
            55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89
            95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48
            8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45
            ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48
            89 C7 E8 ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ??
            ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D
            85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85
            ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ??
            ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89
            D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ??
            48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ??
            ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7
            B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 48 8D 3D ?? ?? ?? ?? E8 ??
            ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 55
            ?? 41 B9 ?? ?? ?? ?? 41 89 D0 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ??
            E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8D
            3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B
            45 ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ??
            ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00
        }

        $read_etc_shadow_p2 = {
            3C ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00 3C ?? 0F 84 ?? ?? ?? ?? 48
            8B 45 ?? 89 C2 48 8B 45 ?? 89 D1 29 C1 89 C8 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ??
            ?? ?? 8B 45 ?? 48 63 D0 48 8D 4D ?? 48 8B 5D ?? 48 8D 45 ?? 48 89 DE 48 89 C7 E8 ??
            ?? ?? ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89
            C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7
            E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48
            63 D3 E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ??
            ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ??
            48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 74 ?? 48 8B 45 ?? 48 83 C0 ?? 48
            89 45 ?? 48 8B 85 ?? ?? ?? ?? 48 03 45 ?? 48 3B 45 ?? 0F 97 C0 84 C0 0F 85 ?? ?? ??
            ?? EB ?? 90 EB ?? 90 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C2 48
            8B 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B
            9D ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB
            ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D
            45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ??
            89 D3 49 89 C4 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ??
            48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ??
            ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3
            48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89
            E0 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3
        }

        $list_running_services_p1 = {
            55 48 89 E5 41 57 41 56 41 55 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89
            B5 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8
            ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ??
            48 8D 55 ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49
            89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 E9 ?? ?? ?? ?? 48 8D 45
            ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48
            89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ??
            ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ??
            48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8
            ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8
            ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 94 C0 84 C0 74 ??
            48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8
            ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8
            ?? ?? ?? ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 4D ?? 48 8D 15 ??
            ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 85 ?? ?? ??
            ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48
        }

        $list_running_services_p2 = {
            8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 0F 85 ?? ?? ?? ??
            BB ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ??
            ?? 41 BE ?? ?? ?? ?? 48 8B 45 ?? 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89
            C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ??
            ?? ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 48 8B 45 ??
            48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 41 BD ?? ?? ??
            ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? B8 ?? ?? ??
            ?? EB ?? B8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 45 84 ED 75 ?? EB ?? 41 89 D7 48 89 85 ??
            ?? ?? ?? 45 84 ED 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 49
            63 D7 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 41 89 D5 49 89 C7 45 84 E4 74
            ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 F8 49 63 D5 41 89 D4 49 89 C5 84 DB 74
            ?? EB ?? 45 84 E4 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 89
            C7 E8 ?? ?? ?? ?? 4C 89 E8 49 63 D4 EB ?? 84 DB 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ??
            ?? ?? EB ?? 89 D3 49 89 C4 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89
            E0 48 63 D3 EB ?? 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 80 BD ?? ?? ??
            ?? ?? 74 ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48
        }

        $list_running_services_p3 = {
            8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ?? ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ??
            ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? EB ?? 89 D3 49 89 C4 48 8D 85 ??
            ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 85 ?? ?? ?? ?? 48 89
            C7 E8 ?? ?? ?? ?? 48 83 7D ?? ?? 0F 95 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 89
            C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 48 8B 85
            ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D
            45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ??
            ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45
            ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ??
            ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 85 ??
            ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85
            ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89 F8 48 81 C4 ?? ?? ?? ??
            5B 41 5C 41 5D 41 5E 41 5F C9 C3
        }

    condition:
        uint32(0) == 0x464C457F and
        (
            all of ($kill_and_restart_daemons_p*)
        ) and
        (
            all of ($network_communication_p*)
        ) and
        (
            all of ($read_etc_shadow_p*)
        ) and
        (
            all of ($list_running_services_p*)
        )
}

Rule Metadata

author

ReversingLabs

source

ReversingLabs

status

RELEASED

sharing

TLP:WHITE

String Definitions

{"name":"$kill_and_restart_daemons_p1","value":"{\n 55 48 89 E5 48 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D 55\n ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83 C2 ?? 48 8D\n 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83\n C2 ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7\n 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48\n 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8\n ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ??\n ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48\n 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ??\n ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ??\n ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ??\n E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8\n ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74\n }"}

{"name":"$kill_and_restart_daemons_p2","value":"{\n 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48\n 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ??\n 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48\n 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ??\n E8 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 94 C0 84 C0 0F 84 ??\n ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 81 7D\n ?? ?? ?? ?? ?? 0F 9E C0 84 C0 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 48 8D 45\n ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7\n E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF\n ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ??\n ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF\n ?? ?? ?? ?? E8 ?? ?? ?? ?? C9 C3\n }"}

{"name":"$network_communication_p1","value":"{\n 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ??\n 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ??\n ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8D 78 ?? E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 ??\n ?? ?? ?? 48 8D 04 02 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48\n 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48\n 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48\n 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C2 48 8B 05 ?? ?? ?? ??\n 66 89 10 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ??\n ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8D\n 71 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 0F B7 00 0F B7 C8 0F B7 55 ?? 0F\n B7 45 ?? 41 89 C8 89 D1 89 C2 48 8B 05 ?? ?? ?? ?? 48 8D 70 ?? 48 8D 3D ?? ?? ?? ??\n B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05\n ?? ?? ?? ?? 0F B7 00 66 85 C0 0F 84 ?? ?? ?? ?? 44 0F B7 65 ?? 0F B7 5D ?? 48 8D 45\n ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 CE 48\n }"}

{"name":"$network_communication_p2","value":"{\n 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ?? ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE\n 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3\n 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 89 D3 49 89 C4\n 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D\n 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 44\n 0F B7 65 ?? 0F B7 5D ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ??\n ?? ?? ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ??\n ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48\n 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89\n E0 48 63 D3 EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63\n D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7\n E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3\n }"}

{"name":"$read_etc_shadow_p1","value":"{\n 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89\n 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48\n 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45\n ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48\n 89 C7 E8 ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ??\n ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D\n 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85\n ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ??\n ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89\n D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ??\n 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ??\n ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7\n B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 48 8D 3D ?? ?? ?? ?? E8 ??\n ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 55\n ?? 41 B9 ?? ?? ?? ?? 41 89 D0 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ??\n E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8D\n 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B\n 45 ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ??\n ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00\n }"}

{"name":"$read_etc_shadow_p2","value":"{\n 3C ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00 3C ?? 0F 84 ?? ?? ?? ?? 48\n 8B 45 ?? 89 C2 48 8B 45 ?? 89 D1 29 C1 89 C8 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ??\n ?? ?? 8B 45 ?? 48 63 D0 48 8D 4D ?? 48 8B 5D ?? 48 8D 45 ?? 48 89 DE 48 89 C7 E8 ??\n ?? ?? ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89\n C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7\n E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48\n 63 D3 E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ??\n ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ??\n 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 74 ?? 48 8B 45 ?? 48 83 C0 ?? 48\n 89 45 ?? 48 8B 85 ?? ?? ?? ?? 48 03 45 ?? 48 3B 45 ?? 0F 97 C0 84 C0 0F 85 ?? ?? ??\n ?? EB ?? 90 EB ?? 90 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C2 48\n 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B\n 9D ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB\n ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D\n 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ??\n 89 D3 49 89 C4 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ??\n 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ??\n ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3\n 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89\n E0 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3\n }"}

{"name":"$list_running_services_p1","value":"{\n 55 48 89 E5 41 57 41 56 41 55 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89\n B5 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8\n ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ??\n 48 8D 55 ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49\n 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 E9 ?? ?? ?? ?? 48 8D 45\n ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48\n 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ??\n ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ??\n 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8\n ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8\n ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 94 C0 84 C0 74 ??\n 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8\n ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8\n ?? ?? ?? ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 4D ?? 48 8D 15 ??\n ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 85 ?? ?? ??\n ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48\n }"}

{"name":"$list_running_services_p2","value":"{\n 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 0F 85 ?? ?? ?? ??\n BB ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ??\n ?? 41 BE ?? ?? ?? ?? 48 8B 45 ?? 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89\n C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ??\n ?? ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 48 8B 45 ??\n 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 41 BD ?? ?? ??\n ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? B8 ?? ?? ??\n ?? EB ?? B8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 45 84 ED 75 ?? EB ?? 41 89 D7 48 89 85 ??\n ?? ?? ?? 45 84 ED 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 49\n 63 D7 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 41 89 D5 49 89 C7 45 84 E4 74\n ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 F8 49 63 D5 41 89 D4 49 89 C5 84 DB 74\n ?? EB ?? 45 84 E4 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 89\n C7 E8 ?? ?? ?? ?? 4C 89 E8 49 63 D4 EB ?? 84 DB 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ??\n ?? ?? EB ?? 89 D3 49 89 C4 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89\n E0 48 63 D3 EB ?? 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 80 BD ?? ?? ??\n ?? ?? 74 ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48\n }"}

{"name":"$list_running_services_p3","value":"{\n 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ??\n ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ?? ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ??\n ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? EB ?? 89 D3 49 89 C4 48 8D 85 ??\n ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 85 ?? ?? ?? ?? 48 89\n C7 E8 ?? ?? ?? ?? 48 83 7D ?? ?? 0F 95 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 89\n C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 48 8B 85\n ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D\n 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ??\n ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45\n ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ??\n ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 85 ??\n ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85\n ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89 F8 48 81 C4 ?? ?? ?? ??\n 5B 41 5C 41 5D 41 5E 41 5F C9 C3\n }"}

Threat Analysis

This YARA rule is designed to detect general threats.

Severity Level: High

The rule uses pattern matching to identify specific byte sequences, strings, or behavioral patterns associated with malicious activity.

Detection Capabilities

File-based detection for executables and documents
Memory scanning for running processes
Network traffic analysis support

Command Line Usage

# Scan a single file
yara Linux_Backdoor_Sshdinjector.yar /path/to/suspicious/file

# Scan a directory recursively
yara -r Linux_Backdoor_Sshdinjector.yar /path/to/directory/

# Scan with metadata output
yara -m Linux_Backdoor_Sshdinjector.yar target_file

# Scan process memory (Linux)
yara Linux_Backdoor_Sshdinjector.yar /proc/[pid]/exe

Integration Examples

Python (yara-python)

import yara
rules = yara.compile(filepath='Linux_Backdoor_Sshdinjector.yar')
matches = rules.match('/path/to/file')

ClamAV Integration

clamscan --yara-rules=Linux_Backdoor_Sshdinjector.yar /path/to/scan

Rule Information

YARA ID

YARA-2025-0300

Author

ReversingLabs

Repository

reversinglabs_reversinglabs-yara-rules

Created

August 19, 2025

Last Updated

August 19, 2025

Last Imported

Never

Threat Intelligence

Risk Level High

Category general

Detection Confidence Analysis Pending

False Positive Rate Not Available

Last Seen in Wild No Data

Related Rules

Win32_Ransomware_RetMyData

YARA-2025-0202

Critical

Win32_Ransomware_CyberVolk

YARA-2025-0203

Critical

Linux_Backdoor_GobRAT

YARA-2025-0204

High

Linux_Backdoor_Krasue

YARA-2025-0205

High

Win32_Ransomware_Zoldon

YARA-2025-0206

Critical

Export Options

Similar Rules in general

YARA-2023-0001 CRI

Linux_Backdoor_Sshdinjector

Rule Metadata

Tags

String Definitions

Threat Analysis

Detection Capabilities

Command Line Usage

Integration Examples

Python (yara-python)

ClamAV Integration

Rule Information

Threat Intelligence

Related Rules

Export Options

Similar Rules in general

Detect_Mimic_Ransomware

SystemBC_malware

detect_catB

detect_Typhon_Stealer

Nosu_stealer

detect_Lumma_stealer

detect_StrelaStealer

detect_silence_Downloader