drb-ra/c2intelfeedsتغذيات استخبارات التهديدات C2 المُولّدة تلقائيًا لعناوين IP والنطاقات ومسارات URL وبيانات وصفية لتكوين البرمجيات الخبيثة، مستمدة من مسح الإنترنت لأغراض SIEM وEDR والبحث عن التهديدات.
تغذيات C2 المُنشأة تلقائيًا | تُنشر أيضًا عبر @drb_ra
اعتبارًا من 1 مايو 2026، تُقدَّم البيانات الخام بفضل Modat -- https://modat.io/
شكر خاص (وليس) لـ Censys على الدعم المقدَّم خلال السنوات القليلة الماضية.
C2IntelFeeds هي مجموعة من تغذيات استخبارات التهديدات الخاصة بـ Command-and-Control (C2) المُنشأة تلقائيًا والمستمدّة من بيانات المسح الواسع النطاق للإنترنت (وبشكل أساسي Censys).
هذه التغذيات مخصّصة لـ المدافعين وهي مناسبة لـ:
يركّز المشروع على تحديد البنية التحتية الحقيقية لـ C2، وليس عينات البرمجيات الخبيثة.
يحتوي هذا المستودع على عدة تغذيات نصية عادية وCSV وJSON تسرد البنية التحتية المشتبه بها أو المؤكدة لـ C2، بما في ذلك:
تُحدَّث التغذيات تلقائيًا وتعكس بشكل أساسي النشاط الأخير.
تتوفر معظم التغذيات في نطاقين زمنيين:
تشير النافذة الزمنية إلى آخر نشاط مُلاحَظ، وليس تاريخ الإنشاء.
خضعت هذه التغذيات لتحقق إضافي وتستبعد البنية التحتية الحميدة المعروفة.
| التغذية | الوصف |
|---|---|
| C2 IPs | عناوين IP لخوادم C2 تم التحقق منها |
| C2 Domains | نطاقات مستخرجة من برمجيات C2 المعروفة |
| C2 Domains (Filtered) | نفس ما سبق، مع إزالة النطاقات ذات معدل الإيجابيات الكاذبة المرتفع |
| C2 Domains + URL | نطاقات تحتوي على مسارات URI محددة لـ C2 |
| C2 Domains + URL + IP | النطاقات والمسارات وعناوين IP المُحلَّلة |
تُنشأ هذه التغذيات من مطابقات البصمات ولكنها قد تحتوي على إيجابيات كاذبة.
بيانات النطاقات مستمدّة من آثار المسح وتم التحقق منها مقابل بيانات IP المرتبطة وقت النشر لتحسين الدقة.
| التغذية | الوصف |
|---|---|
| Unverified C2 IPs | عناوين IP محتملة لـ C2 بناءً على آثار المسح |
| Unverified C2 Domains | نطاقات محتملة لـ C2 بناءً على آثار المسح |
| Unverified KVM IPs | عناوين IP مرتبطة بـ KVM بناءً على آثار المسح |
| Unverified KVM Domains | نطاقات مرتبطة بـ KVM بناءً على آثار المسح |
| Unverified RMM IPs | عناوين IP مرتبطة بـ RMM بناءً على آثار المسح |
| Unverified RMM Domains | نطاقات مرتبطة بـ RMM بناءً على آثار المسح |
| IP + Port Pairs | تركيبات عنوان IP الوجهة والمنفذ |
⚠️ استخدم التغذيات غير المُتحقَّق منها بحذر. يُوصى بشدة بالتحقق المحلي.
حيثما أمكن، تُضمَّن البيانات الوصفية لإعدادات C2 المستخرجة بصيغتي CSV وJSON.
قد تتضمن الحقول النموذجية ما يلي:
قد تتوفر كل من المتغيرات القياسية وذات 30 يومًا.
تُبنى التغذيات باستخدام استعلامات بحث Censys المصممة لاكتشاف أطر C2 المعروفة عبر أخذ بصمات:
| الأداة | Modat Search |
|---|---|
| Sliver | same_service(service="unknown" transport="tcp" cert.issuer.cn="operators" cert.subject.cn="multiplayer") and same_service(service="http" transport="tcp" banner.sha256=dba60000613d7556f0b129e77a9451d6ce5a83f52f2d4830314d2e6b52b7928c) |
| Covenant | same_service(cert.issuer.cn="Covenant" cert.subject.cn="Covenant" ) OR same_service(web.title="Covenant"service="http" transport="tcp" technology="Kestrel" technology="Bootstrap") |
| Brute Ratel C4 | product="Brute Ratel C4" |
| Mythic | same_service(service="http" transport="tcp" cert.issuer.org="Mythic" cert.subject.org="Mythic" ) or same_service(banner.sha256=bc7e468313dcdc814784a20b5676188d19c033a1a3d9e3ebe1ff92f006522216 product!="Mythic C2") or product="Mythic C2" |
| Deimos | same_service(service="http" transport="tcp" banner.sha256=613dfd23a3e10f890cee3032b088cfcdf1bf53ed0851e192c0c93ee59b53821a web.html.sha256=99eb12f2ab3c4866a353e098ffa3cb7a967e617c49b98480394ec5d8ea92b094 cert.issuer.org="Acme Co" cert.subject.org="Acme Co" ) |
| Nighthawk C2 | [TBC] |
| Bianlian Go Trojan | [TBC] |
| Havoc | [TBC] |
| Responder | same_service(service="smb" transport="tcp" banner~"server_guid: AAAAAAAAAAAAAAAAAAAAAO6Fq/fq9gxPkoGSR23rdqk") |
| Pupy RAT | same_service(service="unknown" transport="tcp" cert.subject.ou="CONTROL" cert.subject.org=~"^[a-zA-Z]{10}$" cert.issuer.org=~"^[a-zA-Z]{10}$") OR product="Pupy RAT" |
| Qakbot | [TBC] |
| DcRat | cert='CN=DcRat Server, OU=qwqdanchun, O=DcRat By qwqdanchun, L=SH, C=CN' |
| Viper | same_service(web.title="VIPER" web.html.sha256=771fb5f8203ca3b8c3a184ebc4347d5308fd75ad57895bc8fddebe7f355ef20a) OR same_service(service="http" transport="tcp" product="Viper RAT") |
| Supershell | same_service(service="http" transport="tcp" product="Supershell C2") |
| Pikabot | [TBC] |
| Meduza Stealer | [TBC] |
| Evilginx/EvilGoPhish | same_service(service="http" transport="tcp" (web.title~"Evilginx" or web.title~"evilgophish" or cert.issuer.org="Evilginx API")) or product="Evilginx" |
| Hookbot/Pegasus | product="HookBot" |
| AsyncRAT | cert.issuer.cn='AsyncRAT Server' and cert.subject.cn='AsyncRAT Server' |
| Remcos | same_service(service="unknown" transport="tcp" cert.jarm=00000000000000000041d41d0000001798d6156df422564fb9b667b7418e4c) |
| DanaBot | [REDACTED] |
| Rhysida Trojan | [REDACTED] |
| Oyster Backdoor | [REDACTED] |
| SocGholish | [REDACTED] |
| NetSupport Manager RAT | same_service(transport="tcp" banner~"Server: NetSupport Gateway/") |
| Geacon_Pro | [TBC] |
| Hak5 Cloud C2 | [TBC] |
| CHAOS | product="CHAOS RAT" |
| Interactsh | same_service(product="Interactsh" tag="Security Tool") or banner~"interactsh" or same_service(port=53 service="dns" banner.sha256=7e04d9c09faea19579f0f8dfa02a45633401b8502e58cb323748665ef6a367ad) |
| BurpSuite Collaborator | product="BurpSuite Collaborator" |
| Reverse SSH | [REDACTED] |
| wstunnel | [REDACTED] |
| Ligolo-ng | [REDACTED] |
| Ransomhub Python C2 | [REDACTED] |
| Pyramid | [REDACTED] |
| VPN Themed Phishing | [REDACTED] |
| StealC v2 | [TBC] |
| AdaptixC2 | [REDACTED] |
| Matanbuchus | [REDACTED] |
| Pywssocks | [REDACTED] |
يتضمن المستودع ملف استبعاد: exclusions.rex
يزيل هذا الملف:
تُطبّق التغذيات المفلترة هذه الاستبعادات تلقائيًا.
