Доколе? Или как-же так?

Это они так замаскированно tcpdump обозвали. Он и правда смотрит пакеты прямо на интерфейсе, ещё до того как они через файрволл пойдут. Для работы требует рут-прав, разумеется.

https://github.com/GossiTheDog/ThreatHunting/blob/master/YARA/BPFDoor-Unknown.yar а это что?