rule HackTool_Linux_ExploitScan_C_MTB{
	meta:
		description = "HackTool:Linux/ExploitScan.C!MTB,SIGNATURE_TYPE_ELFHSTR_EXT,02 00 02 00 02 00 00 "
		
	strings :
		$a_01_0 = {31 c0 e8 1b 85 e6 ff 90 48 8d 0d 7b 26 14 00 bf 01 00 00 00 31 f6 49 c7 c0 ff ff ff ff 0f 1f 44 00 00 e8 5b 2c e9 ff 48 83 fb 03 7c aa 48 8b 10 48 83 78 08 00 74 a0 48 8b 70 20 48 8b 58 28 0f 1f 00 48 83 fb 03 7c 8f 80 3a 23 74 8a 80 3e 2a 75 85 80 7e 01 2e 0f 85 7b ff ff ff 48 89 44 24 40 48 8d 46 01 48 89 44 24 48 48 ff cb 48 89 5c 24 38 48 8d 0d 00 1f 0d 00 bf 03 00 00 00 0f 1f 40 00 e8 fb 29 e9 ff 48 85 c0 0f 8d 47 ff ff ff 48 8b 54 24 48 48 89 54 24 60 48 8b 74 24 38 48 89 74 24 68 48 8d 05 17 ef 4d 00 48 8d 1d b0 15 08 00 48 8d 4c 24 60 e8 86 30 e8 ff 66 0f 1f 44 00 00 84 c9 } //1
		$a_01_1 = {49 11 d7 48 8b 55 08 c4 c2 ab f6 c2 4d 01 d6 c4 42 a3 f6 c3 4d 11 df 49 83 d0 00 49 0f af d4 49 01 c7 49 11 d0 4d 89 ea 4d 89 f3 4d 89 fc 49 83 e4 03 4d 89 fd 49 83 e5 fc 4d 89 c6 4d 0f ac c7 02 49 c1 e8 02 4d 01 ea 4d 11 f3 49 83 d4 00 4d 01 fa 4d 11 c3 49 83 d4 00 c4 c1 7d fe c6 c4 c1 55 fe e9 c4 c1 4d fe f2 c4 c1 45 fe fb c5 dd ef e0 c5 f5 ef cd c5 ed ef d6 c5 e5 ef df c4 e2 5d 00 25 dd 54 18 00 c4 e2 75 00 0d d4 54 18 00 c4 e2 6d 00 15 cb 54 18 00 c4 e2 65 00 1d c2 54 18 00 c5 1d fe e4 c5 15 fe e9 c5 3d fe c2 c5 05 fe fb c4 41 0d ef f4 c4 41 35 ef cd c4 41 2d ef d0 c4 41 25 ef df c5 7d 7f bd e0 00 00 00 c4 c1 05 72 f6 07 c4 c1 0d 72 d6 19 c4 41 0d ef f7 c4 c1 05 72 f1 07 c4 c1 35 72 d1 19 c4 41 35 ef cf c4 c1 05 72 f2 07 } //1
	condition:
		((#a_01_0  & 1)*1+(#a_01_1  & 1)*1) >=2
 
}