Feeds de inteligencia de amenazas C2 generados automáticamente de IPs, dominios, rutas de URL y metadatos de configuración de implantes, derivados del escaneo de internet para SIEM, EDR y búsqueda de amenazas.
Feeds de C2 creados automáticamente | También publicados vía @drb_ra
A partir del 1 de mayo de 2026, los datos sin procesar son proporcionados por cortesía de Modat -- https://modat.io/
Un agradecimiento especial no a Censys por el apoyo brindado durante los últimos años.
C2IntelFeeds es una colección de feeds de inteligencia de amenazas de Command-and-Control (C2) generados automáticamente, derivados de datos de escaneo de internet a gran escala (principalmente Censys).
Estos feeds están destinados a defensores y son adecuados para:
El proyecto se centra en identificar infraestructura C2 real, no muestras de malware.
Este repositorio contiene múltiples feeds en texto plano, CSV y JSON que enumeran infraestructura C2 sospechosa o confirmada, incluyendo:
Los feeds se actualizan automáticamente y reflejan principalmente actividad reciente.
La mayoría de los feeds están disponibles en dos rangos de tiempo:
La ventana de tiempo se refiere a la última actividad observada, no a la fecha de creación.
Estos feeds han pasado por una validación adicional y excluyen infraestructura benigna conocida.
| Feed | Descripción |
|---|---|
| C2 IPs | Direcciones IP de servidores C2 validadas |
| C2 Domains | Dominios extraídos de implantes C2 conocidos |
| C2 Domains (Filtered) | Igual que el anterior, con dominios de alto índice de falsos positivos eliminados |
| C2 Domains + URL | Dominios con rutas URI de C2 específicas |
| C2 Domains + URL + IP | Dominios, rutas e IPs resueltas |
Estos feeds se generan a partir de coincidencias de huellas digitales pero pueden contener falsos positivos.
Los Datos de Dominio se derivan de artefactos de escaneo y se validan contra los datos de IP asociados en el momento de la publicación para mejorar la precisión.
| Feed | Descripción |
|---|---|
| Unverified C2 IPs | Direcciones IP de C2 potenciales basadas en artefactos de escaneo |
| Unverified C2 Domains | Dominios de C2 potenciales basados en artefactos de escaneo |
| Unverified KVM IPs | Direcciones IP relacionadas con KVM basadas en artefactos de escaneo |
| Unverified KVM Domains | Dominios relacionados con KVM basados en artefactos de escaneo |
| Unverified RMM IPs | Direcciones IP relacionadas con RMM basadas en artefactos de escaneo |
| Unverified RMM Domains | Dominios relacionados con RMM basados en artefactos de escaneo |
| IP + Port Pairs | Combinaciones de IP de destino y puerto |
⚠️ Utilice los feeds no verificados con precaución. Se recomienda encarecidamente la validación local.
Cuando es posible, los metadatos de configuración de C2 extraídos se incluyen en formatos CSV y JSON.
Los campos típicos pueden incluir:
Pueden estar disponibles tanto las variantes estándar como las de 30 días.
Los feeds se construyen utilizando consultas de búsqueda de Censys diseñadas para detectar frameworks C2 conocidos mediante la identificación de huellas digitales de:
