tak jsem si pořádně pročetl man k tcpdumpu a filtr na data v paketu by vypadal asi takto:
tcp [(((tcp[12]>>4)*4)+offset):4] = 0x4D454F57 && port 135

Ještě to musím vyzkoušet a odpočítat si offset, ale mělo by to tak být.