C2 Tracker

C2 Tracker هو موجز مؤشرات اختراق (IOC) مجاني ومجتمعي يستخدم عمليات بحث Shodan وCensys لجمع عناوين IP الخاصة ببنية تحتية معروفة للبرمجيات الخبيثة/البوت نت/القيادة والتحكم (C2).

تم أرشفة هذا المشروع

تم أرشفة هذا المشروع. تمت إزالة ملفات النصوص الموجودة في data/ ولم تعد تُحدَّث. التوقيعات في tracker.py لم تعد تُحدَّث.

لا يزال من الممكن تشغيل هذا المشروع محليًا، انظر أدناه.

إشارات شرفية

تم الحصول على العديد من الاستعلامات من باحثين آخرين في مجال الاستخبارات السيبرانية:

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

تحية كبيرة لهم!

شكرًا لـBertJanCyber على إنشاء استعلام KQL لاستيعاب هذا الموجز

وأخيرًا، شكرًا لـY_nexro على إنشاء C2Live لتصور البيانات وإصدار الموقع على c2tracker.com

الاستخدام

سيتم تخزين أحدث مجموعة في data/. يتم فصل عناوين IP حسب اسم الأداة ويوجد ملف all.txt يحتوي على جميع عناوين IP. حاليًا، يتم تحديث هذا الموجز أسبوعيًا يوم الاثنين.

الاستيعاب/التنبيه

• إذا كان نظام SIEM/EDR/TIP الخاص بك لديه القدرة على استيعاب البيانات من مصدر بعيد، فيمكنك استخدام الملفات بتنسيقها النصي الخام. انظر استعلام KQL الخاص بـ BertJanCyber أعلاه كمثال
• أضاف FortinetSIEM 7.2.0 دعمًا لهذا الموجز الاستخباري - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

التحقيقات/التحليل التاريخي

• بطبيعته، يحتوي المستودع على التحكم في الإصدارات. هذا يعني أنه يمكنك البحث في تاريخ المستودع لمعرفة متى كان عنوان IP موجودًا في النتائج. لقد استخدمت إحدى أدواتي العامة الأخرى، أداة OSINT لمستودعات GitHub، لهذا الغرض.
• يوجد موصل OpenCTI لهذا المشروع ويمكن العثور عليه هنا - لا يُنصح به لبيئات الإنتاج

ما الذي أتتبعه؟

• خوادم القيادة والتحكم (C2)
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• البرمجيات الخبيثة
  • AcidRain Stealer
  • Misha Stealer (المعروف أيضًا باسم Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

التشغيل محليًا

إذا كنت ترغب في استضافة نسخة خاصة، ضع مفتاح API الخاص بـ Shodan في متغير بيئة يُسمى SHODAN_API_KEY، وأعد إعداد بيانات اعتماد Censys في CENSYS_API_ID و CENSYS_API_SECRET

دالة censys() معطلة/معلقة حاليًا. انظر tracker.py للتفاصيل

python3 -m pip install -r requirements.txt
python3 tracker.py

المساهمة

أشجع على فتح issue/PR إذا كنت تعرف أي عمليات بحث إضافية لـ Shodan/Censys لتحديد البنية التحتية للخصم. لن أضع أي إرشادات صارمة حول ما يمكن تقديمه، فقط اعلم أن الدقة هي الأهم (التركيز على نسبة عالية من الإيجابيات الحقيقية/الخاطئة).

المراجع

• صيد C2 باستخدام Shodan بقلم Michael Koczwara
• صيد Cobalt Strike C2 باستخدام Shodan بقلم Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• BushidoToken's OSINT-SearchOperators
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router