This detection identifies the presence of the BackConnect backdoor by scanning file artifacts with a specialized Yara signature to uncover persistent remote access capabilities often used for command and control. SOC teams should proactively hunt for this indicator in Azure Sentinel because early identification of such low-severity backdoors prevents their evolution into advanced threats that could exfiltrate sensitive data or establish long-term footholds within the network.
rule Win64_Backdoor_BackConnect : tc_detection malicious
{
meta:
author = "ReversingLabs"
source = "ReversingLabs"
status = "RELEASED"
sharing = "TLP:WHITE"
category = "MALWARE"
malware = "BACKCONNECT"
description = "Yara rule that detects BackConnect backdoor."
tc_detection_type = "Backdoor"
tc_detection_name = "BackConnect"
tc_detection_factor = 5
strings:
$network_communication_p1 = {
48 89 5C 24 ?? 4C 89 44 24 ?? 48 89 4C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 83
EC ?? 45 33 F6 4C 8B EA 45 8B FE 41 8B EE 41 8B FE 48 8B D9 48 8B 05 ?? ?? ?? ?? 44
3B B8 ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? ?? 44 39 74 39 ?? 0F 84 ?? ??
?? ?? 48 8B 4C 39 ?? 41 FF C7 48 83 F9 ?? 0F 84 ?? ?? ?? ?? 49 8B D0 FF 15 ?? ?? ??
?? 85 C0 48 8B 05 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? ?? 74 ?? 44 89 74 24 ?? 48 8D 84 24
?? ?? ?? ?? 44 89 B4 24 ?? ?? ?? ?? 4C 8D 4C 24 ?? 48 8B 4C 39 ?? BA ?? ?? ?? ?? 41
B8 ?? ?? ?? ?? 48 89 44 24 ?? FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 41 B0 ?? 48 8B
81 ?? ?? ?? ?? 44 88 74 07 ?? 8B C5 48 6B D0 ?? 48 03 91 ?? ?? ?? ?? E8 ?? ?? ?? ??
E9 ?? ?? ?? ?? 48 8B 4C 39 ?? 49 8B D5 FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 85 C0
74 ?? 4C 8B 81 ?? ?? ?? ?? 42 80 7C 07 ?? ?? 75 ?? 8B C5 48 6B D0 ?? 49 03 D0 E8 ??
?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 49 8B D5 48 8B 4C 39 ?? FF 15 ??
?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B D3 44 8B E0 48 8B 89 ?? ?? ?? ?? 48 8B 4C 39 ??
FF 15 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 44 8B F0 48 8B 9E ?? ?? ?? ?? 48 03 DF 83 7B
?? ?? 0F 84 ?? ?? ?? ?? 33 C9 E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 48 2B 43 ?? 48 83 F8
?? 7E ?? 48 83 4B ?? ?? 45 33 F6 44 89 73 ?? 41 B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 45 85
}
$network_communication_p2 = {
F6 74 ?? 48 8B 15 ?? ?? ?? ?? 45 33 C9 48 8B 4B ?? 41 B8 ?? ?? ?? ?? FF 15 ?? ?? ??
?? 45 33 F6 85 C0 74 ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 3D ??
?? ?? ?? 75 ?? 41 8B C6 EB ?? 85 C0 78 ?? 01 43 ?? BA ?? ?? ?? ?? 4C 8B 0D ?? ?? ??
?? 48 8B CE 44 8B 43 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 48 8B 4B ?? FF 15 ?? ?? ??
?? 48 83 4B ?? ?? E9 ?? ?? ?? ?? 45 33 F6 45 85 E4 0F 84 ?? ?? ?? ?? 44 8B 43 ?? 45
85 C0 0F 84 ?? ?? ?? ?? 48 8B 53 ?? 45 33 C9 48 8B 4B ?? FF 15 ?? ?? ?? ?? 83 F8 ??
75 ?? FF 15 ?? ?? ?? ?? 48 8B 4B ?? FF 15 ?? ?? ?? ?? 48 83 4B ?? ?? 41 B8 ?? ?? ??
?? 48 8B D3 44 89 73 ?? 48 8B CE E8 ?? ?? ?? ?? EB ?? 48 8B 4B ?? 29 43 ?? 44 8B 43
?? 01 43 ?? 48 63 D0 48 03 D1 E8 ?? ?? ?? ?? 8A 4B ?? F6 C1 ?? 74 ?? 8B 43 ?? C1 E8
?? 39 43 ?? 77 ?? 44 8B 43 ?? 80 E1 ?? 45 33 C9 88 4B ?? 48 8B CE 44 89 74 24 ?? 41
8D 51 ?? E8 ?? ?? ?? ?? F6 43 ?? ?? 74 ?? 44 39 73 ?? 75 ?? 45 33 C0 48 8B D3 48 8B
CE E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? FF C5 48 83 C7 ??
81 FD ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 33 C0 48 8B 9C 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F
41 5E 41 5D 41 5C 5F 5E 5D C3
}
$get_system_information = {
48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 41 54 41 55 41 56 41 57 48 8B EC 48
81 EC ?? ?? ?? ?? 48 8B F9 48 8D 4D ?? FF 15 ?? ?? ?? ?? 4C 8B 75 ?? 48 81 FF ?? ??
?? ?? 76 ?? 48 8D 87 ?? ?? ?? ?? 4C 3B F0 4C 0F 42 F0 48 8B 1D ?? ?? ?? ?? 4C 8D A7
?? ?? ?? ?? 4C 39 65 ?? 4C 0F 46 65 ?? 49 81 EC ?? ?? ?? ?? 33 F6 48 85 DB 74 ?? 49
3B DE 72 ?? 49 3B DC 73 ?? 48 39 73 ?? 0F 85 ?? ?? ?? ?? 48 8B 1B EB ?? 4C 8B FF 49
3B FE 72 ?? 44 8B 6D ?? 33 D2 49 8B C7 49 F7 F5 4C 2B FA 4D 2B FD 4D 3B FE 72 ?? 41
B8 ?? ?? ?? ?? 48 8D 55 ?? 49 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 81 7D ?? ?? ??
?? ?? 74 ?? 4C 8B 7D ?? 4D 3B FD 72 ?? EB ?? 4D 85 FF 74 ?? BA ?? ?? ?? ?? 41 B9 ??
?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 85 ?? ??
?? ?? 4D 3B FE 73 ?? 48 85 DB 0F 85 ?? ?? ?? ?? 49 3B FC 0F 87 ?? ?? ?? ?? 44 8B 7D
?? 33 D2 48 8B C7 45 8B F7 49 F7 F7 41 8B C7 48 2B C2 48 03 C7 48 8B F8 49 3B C4 0F
87 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 0F
84 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 74 ?? 33 D2 41 8D 7F ?? 48 03 7D ?? 48 03 7D ??
48 8B C7 49 F7 F6 48 2B FA 49 3B FC EB ?? 48 85 FF 74 ?? BA ?? ?? ?? ?? 41 B9 ?? ??
?? ?? 41 B8 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 E9 ?? ?? ?? ??
48 8D 4B ?? 89 73 ?? BA ?? ?? ?? ?? 48 89 31 48 8B C1 48 89 4B ?? 48 83 C2 ?? 48 83
C1 ?? 48 8B F0 48 81 FA ?? ?? ?? ?? 76 ?? 48 8B 05 ?? ?? ?? ?? 48 89 03 48 89 1D ??
?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 48 8B C3 49 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? 49 8B
E3 41 5F 41 5E 41 5D 41 5C 5D C3
}
$get_dns_servers_p1 = {
4C 8B DC 49 89 5B ?? 55 56 57 41 56 41 57 48 83 EC ?? 83 64 24 ?? ?? 49 8D 43 ?? 33
D2 49 89 43 ?? 49 83 63 ?? ?? 45 33 C9 45 33 C0 8D 7A ?? 8B CF FF 15 ?? ?? ?? ?? 8B
44 24 ?? 8D 6F ?? 85 C0 0F 84 ?? ?? ?? ?? 8B C8 8B D5 E8 ?? ?? ?? ?? 48 8B D8 48 85
C0 0F 84 ?? ?? ?? ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 33 D2 48 89 5C
24 ?? 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0B 8B D5 C1 E1 ?? 03 CD E8
?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 33 FF 39 3B 76 ?? 8B 4C BB ?? FF 15 ?? ?? ?? ??
48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 8B 03 2B C5 3B F8 73 ?? 48 8D 15 ?? ?? ?? ?? 48
8B CE FF 15 ?? ?? ?? ?? 03 FD 3B 3B 72 ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D6 48
8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 8B D8 E8 ?? ?? ?? ?? 48 8B CB 4C 8B F0
E8 ?? ?? ?? ?? EB ?? 48 8B CB E8 ?? ?? ?? ?? 45 33 F6 83 64 24 ?? ?? 48 8D 44 24 ??
48 89 44 24 ?? 45 33 C9 48 83 64 24 ?? ?? 45 33 C0 33 D2 33 C9 FF 15 ?? ?? ?? ?? 8B
44 24 ?? 85 C0 74 ?? 8D 48 ?? 48 8B D5 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8D
}
$get_dns_servers_p2 = {
44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 33 D2 48 89 5C 24 ?? 33 C9 FF 15 ?? ?? ??
?? 85 C0 75 ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D3 48 8D 0D ?? ?? ?? ?? E8 ?? ??
?? ?? 48 8B E8 EB ?? 48 8B CB E8 ?? ?? ?? ?? 33 ED 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ??
?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 8D 53 ?? 8D
4F ?? E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 4C 8B C7 48 8D 15 ?? ?? ?? ?? 4D 03 C0
48 8B C8 E8 ?? ?? ?? ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D3 48 8D 0D ?? ?? ?? ??
E8 ?? ?? ?? ?? 4C 8B F8 48 85 DB 74 ?? 48 8B CB E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85
ED 48 8D 15 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4D 8B C7 48 0F 45 D5 49 8B CE 48 83 64
24 ?? ?? 48 8B F0 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B C8 48 8B F8 E8 ?? ?? ?? ?? 49
8B CE 48 8B D8 E8 ?? ?? ?? ?? 48 8B CD E8 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? 48 8B
CE E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B C3 48 8B 5C 24 ?? 48 83 C4 ?? 41 5F
41 5E 5F 5E 5D C3
}
$get_network_interfaces_p1 = {
48 8B C4 48 89 58 ?? 48 89 70 ?? 57 41 56 41 57 48 81 EC ?? ?? ?? ?? B9 ?? ?? ?? ??
89 48 ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ??
48 8B C8 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8B CE E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ??
?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ??
?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8D 4B ?? E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8B
C3 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B CE FF
15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8B F6 48 85 F6 0F 84 ?? ?? ?? ?? 4C 8D 3D
?? ?? ?? ?? 48 83 64 24 ?? ?? 48 8D 05 ?? ?? ?? ?? 4D 8D 86 ?? ?? ?? ?? 48 89 44 24
?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 45 8B 8E ?? ?? ?? ?? 48 8B
F8 41 8B C9 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74
?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 F9 ?? 74 ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ??
48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D
15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15
?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ??
?? ?? ?? 45 33 C0 48 8B CF E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D 86 ?? ?? ?? ?? 48
}
$get_network_interfaces_p2 = {
8B C8 48 8D 15 ?? ?? ?? ?? 4D 8B CF E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D 86 ?? ??
?? ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D
86 ?? ?? ?? ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 41 83 BE ?? ??
?? ?? ?? 48 8B C8 74 ?? 48 83 64 24 ?? ?? 4D 8D 8E ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ??
4C 89 7C 24 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 45 33 C0 48 8D 15 ?? ?? ??
?? E8 ?? ?? ?? ?? 41 83 BE ?? ?? ?? ?? ?? 74 ?? 4D 8D 86 ?? ?? ?? ?? 45 33 C9 48 8D
15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4D 8D 86 ?? ?? ?? ?? 41 80 38 ?? 74 ?? 45 33
C9 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4D 8B 36 48 8D 15 ?? ?? ?? ?? 45 33
C0 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 4D 85 F6 0F 85 ?? ?? ?? ?? EB ?? 48 85 F6 74 ??
48 8B CE E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B CF 48 8B D8 E8 ?? ?? ?? ?? 48
8B C3 EB ?? 33 C0 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41
5E 5F C3
}
condition:
uint16(0) == 0x5A4D and
(
all of ($network_communication_p*)
) and
(
$get_system_information
) and
(
all of ($get_dns_servers_p*)
) and
(
all of ($get_network_interfaces_p*)
)
}This YARA rule can be deployed in the following contexts:
This rule contains 7 string patterns in its detection logic.
Here are 4 specific false positive scenarios for the BackConnect backdoor detection rule, including suggested filters and exclusions:
Scenario: Scheduled Cloud Backup Agent Communication
vbrsvc.exe or rubriksvc processes. These agents frequently use standard HTTPS ports and may exhibit network behavior similar to a backdoor establishing a “back connection” to a remote server.vbrsvc.exe, rubriksvc) connecting to known cloud provider IP ranges or DNS suffixes (e.g., .amazonaws.com, .azure.com). Alternatively, add a Yara exception for the specific hash of these legitimate binaries.Scenario: Endpoint Protection Health Check & Policy Sync
C-Drive.exe, MsMpEng.exe) often initiates a connection that mimics the “BackConnect” signature, especially when updating threat intelligence feeds or reporting telemetry data.C-Drive.exe for CrowdStrike) and restrict the detection to exclude connections destined for the specific vendor’s management domain (e.g., *.falcon.crowdstrike.com).Scenario: IT Asset Management & Patching Scans