Maged Elkashlan

00000000  59 41 52 41 2d 58 fb 92  48 07 64 65 66 61 75 6c  |YARA-X..H.defaul|
00000010  74 11 70 61 63 6b 61 67  65 73 2f 65 78 74 65 6e  |t.packages/exten|
00000020  64 65 64 04 6d 61 74 68  04 68 61 73 68 06 64 6f  |ded.math.hash.do|
00000030  74 6e 65 74 02 70 65 0c  54 43 5f 44 45 54 45 43  |tnet.pe.TC_DETEC|
00000040  54 49 4f 4e 09 4d 41 4c  49 43 49 4f 55 53 07 4d  |TION.MALICIOUS.M|
00000050  41 4c 57 41 52 45 04 46  49 4c 45 0b 64 65 73 63  |ALWARE.FILE.desc|
00000060  72 69 70 74 69 6f 6e 06  61 75 74 68 6f 72 02 69  |ription.author.i|
00000070  64 04 64 61 74 65 08 6d  6f 64 69 66 69 65 64 09  |d.date.modified.|
00000080  72 65 66 65 72 65 6e 63  65 0a 73 6f 75 72 63 65  |reference.source|
00000090  5f 75 72 6c 0b 6c 69 63  65 6e 73 65 5f 75 72 6c  |_url.license_url|
000000a0  0a 6c 6f 67 69 63 5f 68  61 73 68 05 73 63 6f 72  |.logic_hash.scor|
000000b0  65 07 71 75 61 6c 69 74  79 04 74 61 67 73 06 73  |e.quality.tags.s|
000000c0  74 61 74 75 73 07 73 68  61 72 69 6e 67 08 63 61  |tatus.sharing.ca|
000000d0  74 65 67 6f 72 79 11 74  63 5f 64 65 74 65 63 74  |tegory.tc_detect|
000000e0  69 6f 6e 5f 74 79 70 65  11 74 63 5f 64 65 74 65  |ion_type.tc_dete|
000000f0  63 74 69 6f 6e 5f 6e 61  6d 65 13 74 63 5f 64 65  |ction_name.tc_de|
00000100  74 65 63 74 69 6f 6e 5f  66 61 63 74 6f 72 0a 69  |tection_factor.i|
00000110  6d 70 6f 72 74 61 6e 63  65 18 24 64 61 74 61 5f  |mportance.$data_|
00000120  65 78 66 69 6c 74 72 61  74 69 6f 6e 5f 76 31 30  |exfiltration_v10|
00000130  5f 31 16 24 6d 65 6d 6f  72 79 5f 73 63 72 61 70  |_1.$memory_scrap|
00000140  69 6e 67 5f 76 31 30 5f  31 15 24 70 72 6f 63 65  |ing_v10_1.$proce|
00000150  73 73 5f 73 65 61 72 63  68 5f 76 31 30 5f 31 17  |ss_search_v10_1.|
00000160  24 73 65 72 76 69 63 65  5f 63 72 65 61 74 69 6f  |$service_creatio|
00000170  6e 5f 76 31 30 5f 31 15  24 70 72 6f 63 65 73 73  |n_v10_1.$process|
00000180  5f 73 65 61 72 63 68 5f  76 31 31 5f 31 16 24 6d  |_search_v11_1.$m|
00000190  65 6d 6f 72 79 5f 73 63  72 61 70 69 6e 67 5f 76  |emory_scraping_v|
000001a0  31 31 5f 31 18 24 64 61  74 61 5f 65 78 66 69 6c  |11_1.$data_exfil|
000001b0  74 72 61 74 69 6f 6e 5f  76 31 31 5f 31 17 24 73  |tration_v11_1.$s|
000001c0  65 72 76 69 63 65 5f 63  72 65 61 74 69 6f 6e 5f  |ervice_creation_|
000001d0  76 31 31 5f 31 2d 52 45  56 45 52 53 49 4e 47 4c  |v11_1-REVERSINGL|
000001e0  41 42 53 5f 57 69 6e 33  32 5f 49 6e 66 6f 73 74  |ABS_Win32_Infost|
000001f0  65 61 6c 65 72 5f 4d 75  6c 74 69 67 72 61 69 6e  |ealer_Multigrain|
00000200  70 6f 73 0a 24 63 61 6c  63 5f 6c 75 68 6e 10 24  |pos.$calc_luhn.$|
00000210  74 72 61 63 6b 5f 31 5f  72 65 76 65 72 73 65 11  |track_1_reverse.|
00000220  24 63 68 65 63 6b 5f 76  61 6c 69 64 69 74 79 5f  |$check_validity_|
00000230  31 12 24 65 6e 63 6f 64  65 5f 61 6e 64 5f 73 65  |1.$encode_and_se|
00000240  6e 64 5f 31 0e 24 66 6f  72 6d 5f 63 72 65 61 74  |nd_1.$form_creat|
00000250  65 5f 31 0e 24 66 6f 72  6d 5f 63 72 65 61 74 65  |e_1.$form_create|
00000260  5f 32 0e 24 66 6f 72 6d  5f 63 72 65 61 74 65 5f  |_2.$form_create_|
00000270  33 2e 52 45 56 45 52 53  49 4e 47 4c 41 42 53 5f  |3.REVERSINGLABS_|
00000280  57 69 6e 33 32 5f 49 6e  66 6f 73 74 65 61 6c 65  |Win32_Infosteale|
00000290  72 5f 50 72 6f 6a 65 63  74 68 6f 6f 6b 70 6f 73  |r_Projecthookpos|
000002a0  1a 24 63 6f 6c 6c 65 63  74 5f 6f 73 5f 69 6e 66  |.$collect_os_inf|
000002b0  6f 72 6d 61 74 69 6f 6e  5f 70 31 1a 24 63 6f 6c  |ormation_p1.$col|
000002c0  6c 65 63 74 5f 6f 73 5f  69 6e 66 6f 72 6d 61 74  |lect_os_informat|
000002d0  69 6f 6e 5f 70 32 13 24  73 65 6e 64 5f 64 61 74  |ion_p2.$send_dat|
000002e0  61 5f 74 6f 5f 63 32 5f  70 31 13 24 73 65 6e 64  |a_to_c2_p1.$send|
000002f0  5f 64 61 74 61 5f 74 6f  5f 63 32 5f 70 32 0e 24  |_data_to_c2_p2.$|
00000300  66 69 6e 64 5f 66 69 6c  65 73 5f 70 31 0e 24 66  |find_files_p1.$f|
00000310  69 6e 64 5f 66 69 6c 65  73 5f 70 32 0e 24 66 69  |ind_files_p2.$fi|
00000320  6e 64 5f 66 69 6c 65 73  5f 70 33 16 24 66 69 6e  |nd_files_p3.$fin|
00000330  64 5f 63 72 79 70 74 6f  5f 77 61 6c 6c 65 74 73  |d_crypto_wallets|
00000340  5f 31 16 24 66 69 6e 64  5f 63 72 79 70 74 6f 5f  |_1.$find_crypto_|
00000350  77 61 6c 6c 65 74 73 5f  32 2c 52 45 56 45 52 53  |wallets_2,REVERS|
00000360  49 4e 47 4c 41 42 53 5f  57 69 6e 33 32 5f 49 6e  |INGLABS_Win32_In|
00000370  66 6f 73 74 65 61 6c 65  72 5f 4c 75 6d 61 72 73  |fostealer_Lumars|
00000380  74 65 61 6c 65 72 0f 24  73 70 61 77 6e 5f 73 68  |tealer.$spawn_sh|
00000390  65 6c 6c 5f 70 31 0f 24  73 70 61 77 6e 5f 73 68  |ell_p1.$spawn_sh|
000003a0  65 6c 6c 5f 70 32 0f 24  73 70 61 77 6e 5f 73 68  |ell_p2.$spawn_sh|
000003b0  65 6c 6c 5f 70 33 0f 24  73 70 61 77 6e 5f 73 68  |ell_p3.$spawn_sh|
000003c0  65 6c 6c 5f 70 34 16 24  67 61 74 68 65 72 5f 63  |ell_p4.$gather_c|
000003d0  68 72 6f 6d 65 5f 63 6f  6f 6b 69 65 73 19 24 63  |hrome_cookies.$c|
000003e0  68 61 6e 67 65 5f 63 68  72 6f 6d 65 5f 70 72 6f  |hange_chrome_pro|
000003f0  66 69 6c 65 5f 70 31 19  24 63 68 61 6e 67 65 5f  |file_p1.$change_|
00000400  63 68 72 6f 6d 65 5f 70  72 6f 66 69 6c 65 5f 70  |chrome_profile_p|
00000410  32 19 24 6e 65 74 77 6f  72 6b 5f 63 6f 6d 6d 75  |2.$network_commu|
00000420  6e 69 63 61 74 69 6f 6e  5f 70 31 19 24 6e 65 74  |nication_p1.$net|
00000430  77 6f 72 6b 5f 63 6f 6d  6d 75 6e 69 63 61 74 69  |work_communicati|
00000440  6f 6e 5f 70 32 2b 52 45  56 45 52 53 49 4e 47 4c  |on_p2+REVERSINGL|
00000450  41 42 53 5f 57 69 6e 36  34 5f 49 6e 66 6f 73 74  |ABS_Win64_Infost|
00000460  65 61 6c 65 72 5f 57 65  61 73 65 6c 73 74 6f 72  |ealer_Weaselstor|
00000470  65 16 24 6e 65 74 77 6f  72 6b 5f 63 6f 6d 6d 75  |e.$network_commu|
00000480  6e 69 63 61 74 69 6f 6e  18 24 66 69 6e 64 5f 73  |nication.$find_s|
00000490  65 6e 73 69 74 69 76 65  5f 66 69 6c 65 73 5f 70  |ensitive_files_p|
000004a0  31 18 24 66 69 6e 64 5f  73 65 6e 73 69 74 69 76  |1.$find_sensitiv|
000004b0  65 5f 66 69 6c 65 73 5f  70 32 18 24 66 69 6e 64  |e_files_p2.$find|
000004c0  5f 73 65 6e 73 69 74 69  76 65 5f 66 69 6c 65 73  |_sensitive_files|
000004d0  5f 70 33 1f 24 70 61 72  73 65 5f 66 69 72 65 66  |_p3.$parse_firef|
000004e0  6f 78 5f 63 6f 6e 66 69  67 75 72 61 74 69 6f 6e  |ox_configuration|
000004f0  5f 70 31 1f 24 70 61 72  73 65 5f 66 69 72 65 66  |_p1.$parse_firef|
00000500  6f 78 5f 63 6f 6e 66 69  67 75 72 61 74 69 6f 6e  |ox_configuration|
00000510  5f 70 32 1f 24 70 61 72  73 65 5f 66 69 72 65 66  |_p2.$parse_firef|
00000520  6f 78 5f 63 6f 6e 66 69  67 75 72 61 74 69 6f 6e  |ox_configuration|
00000530  5f 70 33 1d 24 63 6f 6c  6c 65 63 74 5f 62 72 6f  |_p3.$collect_bro|
00000540  77 73 65 72 5f 70 61 73  73 77 6f 72 64 73 5f 70  |wser_passwords_p|
00000550  31 1d 24 63 6f 6c 6c 65  63 74 5f 62 72 6f 77 73  |1.$collect_brows|
00000560  65 72 5f 70 61 73 73 77  6f 72 64 73 5f 70 32 1d  |er_passwords_p2.|
00000570  24 63 6f 6c 6c 65 63 74  5f 62 72 6f 77 73 65 72  |$collect_browser|
00000580  5f 70 61 73 73 77 6f 72  64 73 5f 70 33 13 24 63  |_passwords_p3.$c|
00000590  6f 6c 6c 65 63 74 5f 63  6f 6f 6b 69 65 73 5f 70  |ollect_cookies_p|
000005a0  31 13 24 63 6f 6c 6c 65  63 74 5f 63 6f 6f 6b 69  |1.$collect_cooki|
000005b0  65 73 5f 70 32 13 24 63  6f 6c 6c 65 63 74 5f 63  |es_p2.$collect_c|
000005c0  6f 6f 6b 69 65 73 5f 70  33 26 52 45 56 45 52 53  |ookies_p3&REVERS|
000005d0  49 4e 47 4c 41 42 53 5f  57 69 6e 36 34 5f 49 6e  |INGLABS_Win64_In|
000005e0  66 6f 73 74 65 61 6c 65  72 5f 44 61 6f 6c 70 75  |fostealer_Daolpu|
000005f0  10 24 67 65 74 5f 6d 61  63 5f 61 64 64 72 65 73  |.$get_mac_addres|
00000600  73 0e 24 66 69 6e 64 5f  66 69 6c 65 73 5f 70 34  |s.$find_files_p4|
00000610  13 24 74 61 6b 65 5f 73  63 72 65 65 6e 73 68 6f  |.$take_screensho|
00000620  74 5f 70 31 13 24 74 61  6b 65 5f 73 63 72 65 65  |t_p1.$take_scree|
00000630  6e 73 68 6f 74 5f 70 32  19 24 67 65 74 5f 64 69  |nshot_p2.$get_di|
00000640  73 63 6f 72 64 5f 62 61  63 6b 75 70 5f 63 6f 64  |scord_backup_cod|
00000650  65 73 25 52 45 56 45 52  53 49 4e 47 4c 41 42 53  |es%REVERSINGLABS|
00000660  5f 57 69 6e 36 34 5f 49  6e 66 6f 73 74 65 61 6c  |_Win64_Infosteal|
00000670  65 72 5f 53 6b 75 6c 64  1a 24 67 65 74 5f 62 72  |er_Skuld.$get_br|
00000680  6f 77 73 65 72 5f 61 75  74 6f 66 69 6c 6c 5f 64  |owser_autofill_d|
00000690  61 74 61 14 24 67 65 74  5f 62 72 6f 77 73 65 72  |ata.$get_browser|
000006a0  5f 63 6f 6f 6b 69 65 73  10 24 74 61 6b 65 5f 73  |_cookies.$take_s|
000006b0  63 72 65 65 6e 73 68 6f  74 1a 24 67 65 74 5f 61  |creenshot.$get_a|
000006c0  6e 74 69 76 69 72 75 73  5f 69 6e 66 6f 72 6d 61  |ntivirus_informa|
000006d0  74 69 6f 6e 14 24 67 65  74 5f 62 72 6f 77 73 65  |tion.$get_browse|
000006e0  72 5f 68 69 73 74 6f 72  79 37 52 45 56 45 52 53  |r_history7REVERS|
000006f0  49 4e 47 4c 41 42 53 5f  42 79 74 65 63 6f 64 65  |INGLABS_Bytecode|
00000700  5f 4d 53 49 4c 5f 49 6e  66 6f 73 74 65 61 6c 65  |_MSIL_Infosteale|
00000710  72 5f 47 6f 6d 6f 72 72  61 68 73 74 65 61 6c 65  |r_Gomorrahsteale|
00000720  72 14 24 72 65 73 6f 6c  76 65 5f 77 69 6e 64 6f  |r.$resolve_windo|
00000730  77 73 5f 61 70 69 17 24  6c 6f 61 64 5f 73 71 6c  |ws_api.$load_sql|
00000740  69 74 65 33 5f 66 75 6e  63 74 69 6f 6e 73 1e 24  |ite3_functions.$|
00000750  63 68 65 63 6b 5f 6c 69  63 65 6e 73 65 5f 65 78  |check_license_ex|
00000760  70 69 72 61 74 69 6f 6e  5f 64 61 74 65 26 52 45  |piration_date&RE|
00000770  56 45 52 53 49 4e 47 4c  41 42 53 5f 57 69 6e 33  |VERSINGLABS_Win3|
00000780  32 5f 49 6e 66 6f 73 74  65 61 6c 65 72 5f 53 74  |2_Infostealer_St|
00000790  65 61 6c 63 16 24 68 61  6e 64 6c 65 5f 63 32 5f  |ealc.$handle_c2_|
000007a0  63 6f 6d 6d 61 6e 64 73  5f 70 31 16 24 68 61 6e  |commands_p1.$han|
000007b0  64 6c 65 5f 63 32 5f 63  6f 6d 6d 61 6e 64 73 5f  |dle_c2_commands_|
000007c0  70 32 1e 24 63 72 65 61  74 65 5f 63 61 62 5f 66  |p2.$create_cab_f|
000007d0  69 6c 65 5f 61 6e 64 5f  75 70 6c 6f 61 64 5f 70  |ile_and_upload_p|
000007e0  31 1e 24 63 72 65 61 74  65 5f 63 61 62 5f 66 69  |1.$create_cab_fi|
000007f0  6c 65 5f 61 6e 64 5f 75  70 6c 6f 61 64 5f 70 32  |le_and_upload_p2|
00000800  1e 24 63 72 65 61 74 65  5f 63 61 62 5f 66 69 6c  |.$create_cab_fil|
00000810  65 5f 61 6e 64 5f 75 70  6c 6f 61 64 5f 70 33 1e  |e_and_upload_p3.|
00000820  24 63 72 65 61 74 65 5f  63 61 62 5f 66 69 6c 65  |$create_cab_file|
00000830  5f 61 6e 64 5f 75 70 6c  6f 61 64 5f 70 34 13 24  |_and_upload_p4.$|
00000840  63 6d 64 5f 65 78 70 61  6e 64 5f 70 61 79 6c 6f  |cmd_expand_paylo|
00000850  61 64 22 52 45 56 45 52  53 49 4e 47 4c 41 42 53  |ad"REVERSINGLABS|
00000860  5f 57 69 6e 33 32 5f 42  61 63 6b 64 6f 6f 72 5f  |_Win32_Backdoor_|
00000870  4b 6f 6e 6e 69 17 24 63  72 65 61 74 65 5f 62 61  |Konni.$create_ba|
00000880  63 6b 64 6f 6f 72 5f 73  6f 63 6b 65 74 18 24 62  |ckdoor_socket.$b|
00000890  61 63 6b 64 6f 6f 72 5f  64 61 74 61 66 6f 72 77  |ackdoor_dataforw|
000008a0  61 72 64 5f 70 31 18 24  62 61 63 6b 64 6f 6f 72  |ard_p1.$backdoor|
000008b0  5f 64 61 74 61 66 6f 72  77 61 72 64 5f 70 32 11  |_dataforward_p2.|
000008c0  24 6d 61 69 6e 5f 63 6f  6e 73 74 72 75 63 74 6f  |$main_constructo|
000008d0  72 18 24 68 6f 6f 6b 5f  61 63 63 65 70 74 5f 66  |r.$hook_accept_f|
000008e0  75 6e 63 74 69 6f 6e 5f  70 31 18 24 68 6f 6f 6b  |unction_p1.$hook|
000008f0  5f 61 63 63 65 70 74 5f  66 75 6e 63 74 69 6f 6e  |_accept_function|
00000900  5f 70 32 26 52 45 56 45  52 53 49 4e 47 4c 41 42  |_p2&REVERSINGLAB|
00000910  53 5f 4c 69 6e 75 78 5f  42 61 63 6b 64 6f 6f 72  |S_Linux_Backdoor|
00000920  5f 50 79 67 6d 79 67 6f  61 74 13 24 75 6e 70 61  |_Pygmygoat.$unpa|
00000930  63 6b 5f 72 65 73 70 6f  6e 73 65 5f 70 31 13 24  |ck_response_p1.$|
00000940  75 6e 70 61 63 6b 5f 72  65 73 70 6f 6e 73 65 5f  |unpack_response_|
00000950  70 32 07 24 75 70 6c 6f  61 64 10 24 70 65 72 66  |p2.$upload.$perf|
00000960  6f 72 6d 5f 72 65 71 75  65 73 74 0f 24 67 65 74  |orm_request.$get|
00000970  5f 74 78 74 5f 72 65 63  6f 72 64 0a 24 6d 61 69  |_txt_record.$mai|
00000980  6e 5f 6c 6f 6f 70 30 52  45 56 45 52 53 49 4e 47  |n_loop0REVERSING|
00000990  4c 41 42 53 5f 42 79 74  65 63 6f 64 65 5f 4d 53  |LABS_Bytecode_MS|
000009a0  49 4c 5f 42 61 63 6b 64  6f 6f 72 5f 41 67 65 6e  |IL_Backdoor_Agen|
000009b0  74 72 61 63 6f 6f 6e 15  24 67 65 74 5f 6c 6f 63  |tracoon.$get_loc|
000009c0  61 6c 5f 61 64 64 72 65  73 73 5f 70 31 15 24 67  |al_address_p1.$g|
000009d0  65 74 5f 6c 6f 63 61 6c  5f 61 64 64 72 65 73 73  |et_local_address|
000009e0  5f 70 32 13 24 67 65 74  5f 6d 61 63 5f 61 64 64  |_p2.$get_mac_add|
000009f0  72 65 73 73 5f 70 31 13  24 67 65 74 5f 6d 61 63  |ress_p1.$get_mac|
00000a00  5f 61 64 64 72 65 73 73  5f 70 32 1d 24 6e 65 74  |_address_p2.$net|
00000a10  77 6f 72 6b 5f 63 6f 6d  6d 75 6e 69 63 61 74 69  |work_communicati|
00000a20  6f 6e 5f 74 63 70 5f 70  31 1d 24 6e 65 74 77 6f  |on_tcp_p1.$netwo|
00000a30  72 6b 5f 63 6f 6d 6d 75  6e 69 63 61 74 69 6f 6e  |rk_communication|
00000a40  5f 74 63 70 5f 70 32 0f  24 74 65 6c 6e 65 74 5f  |_tcp_p2.$telnet_|
00000a50  74 61 73 6b 5f 70 31 0f  24 74 65 6c 6e 65 74 5f  |task_p1.$telnet_|
00000a60  74 61 73 6b 5f 70 32 23  52 45 56 45 52 53 49 4e  |task_p2#REVERSIN|
00000a70  47 4c 41 42 53 5f 4c 69  6e 75 78 5f 42 61 63 6b  |GLABS_Linux_Back|
00000a80  64 6f 6f 72 5f 47 6f 62  72 61 74 16 24 6c 6f 61  |door_Gobrat.$loa|
00000a90  64 5f 65 6d 62 65 64 64  65 64 5f 6c 69 62 72 61  |d_embedded_libra|
00000aa0  72 79 1b 24 64 65 63 72  79 70 74 5f 65 6d 62 65  |ry.$decrypt_embe|
00000ab0  64 64 65 64 5f 6c 69 62  72 61 72 79 5f 31 1b 24  |dded_library_1.$|
00000ac0  64 65 63 72 79 70 74 5f  65 6d 62 65 64 64 65 64  |decrypt_embedded|
00000ad0  5f 6c 69 62 72 61 72 79  5f 32 13 24 72 65 6d 6f  |_library_2.$remo|
00000ae0  76 65 5f 62 61 63 6b 64  6f 6f 72 5f 70 31 13 24  |ve_backdoor_p1.$|
00000af0  72 65 6d 6f 76 65 5f 62  61 63 6b 64 6f 6f 72 5f  |remove_backdoor_|
00000b00  70 32 26 52 45 56 45 52  53 49 4e 47 4c 41 42 53  |p2&REVERSINGLABS|
00000b10  5f 4c 69 6e 75 78 5f 42  61 63 6b 64 6f 6f 72 5f  |_Linux_Backdoor_|
00000b20  57 6f 6c 66 73 62 61 6e  65 16 24 64 6f 77 6e 6c  |Wolfsbane.$downl|
00000b30  6f 61 64 5f 66 69 6c 65  5f 66 72 6f 6d 5f 63 32  |oad_file_from_c2|
00000b40  12 24 75 70 6c 6f 61 64  5f 66 69 6c 65 5f 74 6f  |.$upload_file_to|
00000b50  5f 63 32 1a 24 67 65 74  5f 6c 6f 67 69 63 61 6c  |_c2.$get_logical|
00000b60  5f 64 72 69 76 65 5f 64  61 74 61 5f 70 31 1a 24  |_drive_data_p1.$|
00000b70  67 65 74 5f 6c 6f 67 69  63 61 6c 5f 64 72 69 76  |get_logical_driv|
00000b80  65 5f 64 61 74 61 5f 70  32 16 24 67 65 74 5f 6f  |e_data_p2.$get_o|
00000b90  73 5f 69 6e 66 6f 72 6d  61 74 69 6f 6e 5f 70 31  |s_information_p1|
00000ba0  16 24 67 65 74 5f 6f 73  5f 69 6e 66 6f 72 6d 61  |.$get_os_informa|
00000bb0  74 69 6f 6e 5f 70 32 2a  52 45 56 45 52 53 49 4e  |tion_p2*REVERSIN|
00000bc0  47 4c 41 42 53 5f 57 69  6e 36 34 5f 42 61 63 6b  |GLABS_Win64_Back|
00000bd0  64 6f 6f 72 5f 45 67 67  73 74 72 65 6d 65 66 75  |door_Eggstremefu|
00000be0  65 6c 1c 24 70 65 72 73  69 73 74 65 6e 63 65 5f  |el.$persistence_|
00000bf0  6d 65 63 68 61 6e 69 73  6d 5f 76 31 5f 70 31 1c  |mechanism_v1_p1.|
00000c00  24 70 65 72 73 69 73 74  65 6e 63 65 5f 6d 65 63  |$persistence_mec|
00000c10  68 61 6e 69 73 6d 5f 76  31 5f 70 32 0e 24 63 6f  |hanism_v1_p2.$co|
00000c20  6e 6e 65 63 74 5f 76 31  5f 70 31 0e 24 63 6f 6e  |nnect_v1_p1.$con|
00000c30  6e 65 63 74 5f 76 31 5f  70 32 08 24 73 65 6e 64  |nect_v1_p2.$send|
00000c40  5f 76 31 0e 24 72 65 63  65 69 76 65 5f 76 31 5f  |_v1.$receive_v1_|
00000c50  70 31 0e 24 72 65 63 65  69 76 65 5f 76 31 5f 70  |p1.$receive_v1_p|
00000c60  32 0b 24 63 6f 6e 6e 65  63 74 5f 76 32 0b 24 72  |2.$connect_v2.$r|
00000c70  65 63 65 69 76 65 5f 76  32 1d 24 67 65 74 5f 73  |eceive_v2.$get_s|
00000c80  79 73 74 65 6d 5f 69 6e  66 6f 72 6d 61 74 69 6f  |ystem_informatio|
00000c90  6e 5f 76 32 5f 70 31 1d  24 67 65 74 5f 73 79 73  |n_v2_p1.$get_sys|
00000ca0  74 65 6d 5f 69 6e 66 6f  72 6d 61 74 69 6f 6e 5f  |tem_information_|
00000cb0  76 32 5f 70 32 08 24 73  65 6e 64 5f 76 32 2a 52  |v2_p2.$send_v2*R|
00000cc0  45 56 45 52 53 49 4e 47  4c 41 42 53 5f 42 79 74  |EVERSINGLABS_Byt|
00000cd0  65 63 6f 64 65 5f 4d 53  49 4c 5f 42 61 63 6b 64  |ecode_MSIL_Backd|
00000ce0  6f 6f 72 5f 4e 6a 72 61  74 1b 24 69 6e 73 74 61  |oor_Njrat.$insta|
00000cf0  6c 6c 5f 6c 69 62 72 61  72 79 5f 69 6d 70 6c 61  |ll_library_impla|
00000d00  6e 74 5f 70 31 1b 24 69  6e 73 74 61 6c 6c 5f 6c  |nt_p1.$install_l|
00000d10  69 62 72 61 72 79 5f 69  6d 70 6c 61 6e 74 5f 70  |ibrary_implant_p|
00000d20  32 0c 24 73 65 6c 66 5f  64 65 6c 65 74 65 16 24  |2.$self_delete.$|
00000d30  65 78 65 63 75 74 65 5f  6c 6f 63 61 6c 5f 66 69  |execute_local_fi|
00000d40  6c 65 5f 70 31 16 24 65  78 65 63 75 74 65 5f 6c  |le_p1.$execute_l|
00000d50  6f 63 61 6c 5f 66 69 6c  65 5f 70 32 16 24 65 78  |ocal_file_p2.$ex|
00000d60  65 63 75 74 65 5f 6c 6f  63 61 6c 5f 66 69 6c 65  |ecute_local_file|
00000d70  5f 70 33 1f 24 6e 65 74  77 6f 72 6b 5f 70 72 6f  |_p3.$network_pro|
00000d80  78 79 5f 63 6f 6d 6d 75  6e 69 63 61 74 69 6f 6e  |xy_communication|
00000d90  5f 70 31 1f 24 6e 65 74  77 6f 72 6b 5f 70 72 6f  |_p1.$network_pro|
00000da0  78 79 5f 63 6f 6d 6d 75  6e 69 63 61 74 69 6f 6e  |xy_communication|
00000db0  5f 70 32 26 52 45 56 45  52 53 49 4e 47 4c 41 42  |_p2&REVERSINGLAB|
00000dc0  53 5f 4c 69 6e 75 78 5f  42 61 63 6b 64 6f 6f 72  |S_Linux_Backdoor|
00000dd0  5f 41 75 74 6f 63 6f 6c  6f 72 14 24 67 65 74 5f  |_Autocolor.$get_|
00000de0  74 63 70 5f 63 6f 6e 6e  65 63 74 69 6f 6e 73 24  |tcp_connections$|
00000df0  24 67 65 74 5f 6f 70 65  72 61 74 69 6e 67 5f 73  |$get_operating_s|
00000e00  79 73 74 65 6d 5f 69 6e  66 6f 72 6d 61 74 69 6f  |ystem_informatio|
00000e10  6e 5f 70 31 24 24 67 65  74 5f 6f 70 65 72 61 74  |n_p1$$get_operat|
00000e20  69 6e 67 5f 73 79 73 74  65 6d 5f 69 6e 66 6f 72  |ing_system_infor|
00000e30  6d 61 74 69 6f 6e 5f 70  32 0e 24 67 65 74 5f 70  |mation_p2.$get_p|
00000e40  61 73 73 77 6f 72 64 73  13 24 70 72 6f 63 65 73  |asswords.$proces|
00000e50  73 5f 6b 65 79 5f 61 63  74 69 6f 6e 2d 52 45 56  |s_key_action-REV|
00000e60  45 52 53 49 4e 47 4c 41  42 53 5f 42 79 74 65 63  |ERSINGLABS_Bytec|
00000e70  6f 64 65 5f 4d 53 49 4c  5f 42 61 63 6b 64 6f 6f  |ode_MSIL_Backdoo|
00000e80  72 5f 4f 72 63 75 73 72  61 74 12 24 70 61 63 6b  |r_Orcusrat.$pack|
00000e90  65 74 5f 6c 6f 6f 70 5f  76 31 5f 70 31 12 24 70  |et_loop_v1_p1.$p|
00000ea0  61 63 6b 65 74 5f 6c 6f  6f 70 5f 76 31 5f 70 32  |acket_loop_v1_p2|
00000eb0  12 24 70 61 63 6b 65 74  5f 6c 6f 6f 70 5f 76 31  |.$packet_loop_v1|
00000ec0  5f 70 33 14 24 72 65 76  65 72 73 65 5f 73 68 65  |_p3.$reverse_she|
00000ed0  6c 6c 5f 76 31 5f 70 31  14 24 72 65 76 65 72 73  |ll_v1_p1.$revers|
00000ee0  65 5f 73 68 65 6c 6c 5f  76 31 5f 70 32 14 24 72  |e_shell_v1_p2.$r|
00000ef0  65 76 65 72 73 65 5f 73  68 65 6c 6c 5f 76 31 5f  |everse_shell_v1_|
00000f00  70 33 17 24 73 65 74 5f  70 72 6f 63 65 73 73 5f  |p3.$set_process_|
00000f10  6e 61 6d 65 5f 76 31 5f  70 31 17 24 73 65 74 5f  |name_v1_p1.$set_|
00000f20  70 72 6f 63 65 73 73 5f  6e 61 6d 65 5f 76 31 5f  |process_name_v1_|
00000f30  70 32 12 24 70 61 63 6b  65 74 5f 6c 6f 6f 70 5f  |p2.$packet_loop_|
00000f40  76 32 5f 70 31 12 24 70  61 63 6b 65 74 5f 6c 6f  |v2_p1.$packet_lo|
00000f50  6f 70 5f 76 32 5f 70 32  12 24 70 61 63 6b 65 74  |op_v2_p2.$packet|
00000f60  5f 6c 6f 6f 70 5f 76 32  5f 70 33 14 24 72 65 76  |_loop_v2_p3.$rev|
00000f70  65 72 73 65 5f 73 68 65  6c 6c 5f 76 32 5f 70 31  |erse_shell_v2_p1|
00000f80  14 24 72 65 76 65 72 73  65 5f 73 68 65 6c 6c 5f  |.$reverse_shell_|
00000f90  76 32 5f 70 32 14 24 72  65 76 65 72 73 65 5f 73  |v2_p2.$reverse_s|
00000fa0  68 65 6c 6c 5f 76 32 5f  70 33 17 24 73 65 74 5f  |hell_v2_p3.$set_|
00000fb0  70 72 6f 63 65 73 73 5f  6e 61 6d 65 5f 76 32 5f  |process_name_v2_|
00000fc0  70 31 17 24 73 65 74 5f  70 72 6f 63 65 73 73 5f  |p1.$set_process_|
00000fd0  6e 61 6d 65 5f 76 32 5f  70 32 24 52 45 56 45 52  |name_v2_p2$REVER|
00000fe0  53 49 4e 47 4c 41 42 53  5f 4c 69 6e 75 78 5f 42  |SINGLABS_Linux_B|
00000ff0  61 63 6b 64 6f 6f 72 5f  42 70 66 64 6f 6f 72 14  |ackdoor_Bpfdoor.|