C2 Tracker

C2 Tracker ist ein kostenlos nutzbarer, gemeinschaftsbetriebener IOC-Feed, der Shodan ~~und Censys~~ Suchanfragen verwendet, um IP-Adressen von bekannter Malware-/Botnetz-/C2-Infrastruktur zu sammeln.

Dieses Projekt wurde archiviert

Dieses Projekt wurde archiviert. Die Textdateien in data/ wurden entfernt und werden nicht mehr aktualisiert. Die Signaturen in tracker.py werden nicht mehr aktualisiert.

Dieses Projekt kann weiterhin lokal ausgeführt werden, siehe unten.

Besondere Erwähnungen

Viele der Suchabfragen stammen von anderen CTI-Forschern:

Ein großes Lob an sie!

Dank an BertJanCyber für die Erstellung der KQL-Abfrage zur Aufnahme dieses Feeds

Und schließlich Dank an Y_nexro für die Erstellung von C2Live zur Visualisierung der Daten und der Website-Version unter c2tracker.com

Verwendung

Die aktuellste Sammlung wird in data/ gespeichert. Die IPs sind nach dem Namen des Tools getrennt und es gibt eine all.txt, die alle IPs enthält. Derzeit wird dieser Feed wöchentlich am Montag aktualisiert.

Aufnahme/Warnmeldungen

Falls Ihr SIEM/EDR/TIP in der Lage ist, Daten aus einer entfernten Quelle aufzunehmen, können Sie die Dateien in ihrem Rohtextformat verwenden. Siehe BertJanCybers KQL-Abfrage oben als Beispiel
FortinetSIEM 7.2.0 hat Unterstützung für diesen Intel-Feed hinzugefügt - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Untersuchungen/Historische Analyse

Das Repository hat aufgrund seiner Natur eine Versionskontrolle. Das bedeutet, dass Sie den Verlauf des Repositorys durchsuchen können, um zu sehen, wann eine IP in den Ergebnissen vorhanden war. Ich habe eines meiner anderen öffentlichen Tools, GitHub Repo OSINT Tool, für diesen Zweck verwendet.
Es gibt einen OpenCTI-Connector für dieses Projekt, der hier zu finden ist - nicht für Produktionsumgebungen empfohlen

Was verfolge ich?

C2s
- Cobalt Strike
- Metasploit Framework
- Covenant
- Mythic
- Brute Ratel C4
- Posh
- Sliver
- Deimos
- PANDA
- NimPlant C2
- Havoc C2
- Caldera
- Empire
- Ares
- Hak5 Cloud C2
- Pantegana
- Supershell
- Vshell
- Villain
- Nimplant C2
- RedGuard C2
- Oyster C2
- byob C2
Malware
- AcidRain Stealer
- Misha Stealer (AKA Grand Misha)
- Patriot Stealer
- RAXNET Bitcoin Stealer
- Titan Stealer
- Collector Stealer
- Mystic Stealer
- Gotham Stealer

Lokale Ausführung

Wenn Sie eine private Version hosten möchten, setzen Sie Ihren Shodan-API-Schlüssel in eine Umgebungsvariable namens SHODAN_API_KEY und konfigurieren Sie Ihre Censys-Anmeldeinformationen in CENSYS_API_ID & CENSYS_API_SECRET

Die Funktion censys() ist derzeit auskommentiert / deaktiviert. Einzelheiten finden Sie in tracker.py

python3 -m pip install -r requirements.txt
python3 tracker.py

Mitwirken

Ich ermutige dazu, ein Issue/PR zu eröffnen, falls Sie zusätzliche Shodan/Censys-Suchabfragen zur Identifizierung von Angreiferinfrastruktur kennen. Ich werde keine strengen Richtlinien für das Einreichen festlegen, aber beachten Sie: Genauigkeit ist von größter Bedeutung (der Fokus liegt auf einem hohen Verhältnis von echten zu falschen Positiven).

C2-Tracker

Beliebteste