drb-ra/c2intelfeedsAutomatisch generierte C2-Threat-Intelligence-Feeds mit IPs, Domains, URL-Pfaden und Implant-Konfigurationsmetadaten, abgeleitet aus Internet-Scans für SIEM, EDR und Threat Hunting.
Automatisch erstellte C2-Feeds | Auch veröffentlicht über @drb_ra
Ab dem 1. Mai 2026 werden die Rohdaten mit freundlicher Genehmigung von Modat bereitgestellt -- https://modat.io/
Ein besonderer Dank geht nicht an Censys für die Unterstützung in den letzten Jahren.
C2IntelFeeds ist eine Sammlung automatisch generierter Command-and-Control (C2)-Threat-Intelligence-Feeds, die aus umfangreichen Internet-Scan-Daten (hauptsächlich Censys) abgeleitet werden.
Diese Feeds sind für Verteidiger gedacht und eignen sich für:
Das Projekt konzentriert sich auf die Identifizierung echter C2-Infrastruktur, nicht auf Malware-Samples.
Dieses Repository enthält mehrere Plain-Text-, CSV- und JSON-Feeds, die mutmaßliche oder bestätigte C2-Infrastruktur auflisten, darunter:
Die Feeds werden automatisch aktualisiert und spiegeln hauptsächlich aktuelle Aktivitäten wider.
Die meisten Feeds sind in zwei Zeiträumen verfügbar:
Das Zeitfenster bezieht sich auf die zuletzt beobachtete Aktivität, nicht auf das Erstellungsdatum.
Diese Feeds wurden einer zusätzlichen Validierung unterzogen und schließen bekannte gutartige Infrastruktur aus.
| Feed | Beschreibung |
|---|---|
| C2 IPs | Validierte IP-Adressen von C2-Servern |
| C2 Domains | Domains, die aus bekannten C2-Implantaten extrahiert wurden |
| C2 Domains (Filtered) | Wie oben, jedoch ohne Domains mit hoher Falsch-Positiv-Rate |
| C2 Domains + URL | Domains mit spezifischen C2-URI-Pfaden |
| C2 Domains + URL + IP | Domains, Pfade und aufgelöste IPs |
Diese Feeds werden aus Fingerprint-Übereinstimmungen generiert, können jedoch Falsch-Positive enthalten.
Domain Data wird aus Scan-Artefakten abgeleitet und zum Zeitpunkt der Veröffentlichung gegen die zugehörigen IP-Daten validiert, um die Genauigkeit zu verbessern.
| Feed | Beschreibung |
|---|---|
| Unverified C2 IPs | Potenzielle C2-IP-Adressen basierend auf Scan-Artefakten |
| Unverified C2 Domains | Potenzielle C2-Domains basierend auf Scan-Artefakten |
| Unverified KVM IPs | KVM-bezogene IP-Adressen basierend auf Scan-Artefakten |
| Unverified KVM Domains | KVM-bezogene Domains basierend auf Scan-Artefakten |
| Unverified RMM IPs | RMM-bezogene IP-Adressen basierend auf Scan-Artefakten |
| Unverified RMM Domains | RMM-bezogene Domains basierend auf Scan-Artefakten |
| IP + Port Pairs | Kombinationen aus Ziel-IP und Port |
⚠️ Unverifizierte Feeds mit Vorsicht verwenden. Eine lokale Validierung wird dringend empfohlen.
Wo möglich, werden extrahierte C2-Konfigurationsmetadaten im CSV- und JSON-Format bereitgestellt.
Typische Felder können umfassen:
Sowohl Standard- als auch 30-Tage-Varianten können verfügbar sein.
Die Feeds werden mithilfe von Censys-Suchabfragen erstellt, die darauf ausgelegt sind, bekannte C2-Frameworks durch Fingerprinting zu erkennen:
