C2 Tracker

C2 Tracker es un feed de IOC gratuito, impulsado por la comunidad, que utiliza búsquedas en Shodan y Censys para recolectar direcciones IP de infraestructura conocida de malware/botnet/C2.

Este Proyecto ha sido Archivado

Este proyecto ha sido archivado. Los archivos de texto en data/ se han eliminado y ya no se actualizan. Las firmas en tracker.py ya no se actualizan.

Este proyecto aún se puede ejecutar localmente, consulte abajo.

Menciones Honoríficas

Muchas de las consultas han sido obtenidas de otros investigadores de CTI:

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

¡Un enorme agradecimiento a ellos!

Gracias a BertJanCyber por crear la consulta KQL para ingerir este feed

Y finalmente, gracias a Y_nexro por crear C2Live para visualizar los datos y la versión web en c2tracker.com

Uso

La colección más reciente se almacenará en data/. Las IP se separan por el nombre de la herramienta y hay un all.txt que contiene todas las IP. Actualmente, este feed se actualiza semanalmente los lunes.

Ingestión/Alertas

• Si su SIEM/EDR/TIP tiene la capacidad de ingerir datos desde una fuente remota, entonces puede usar los archivos en su formato de texto sin procesar. Vea la consulta KQL de BertJanCyber arriba como ejemplo.
• FortinetSIEM 7.2.0 añadió soporte para este feed de inteligencia - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Investigaciones/Análisis Histórico

• El repositorio, por su naturaleza, tiene control de versiones. Esto significa que puedes buscar en el historial del repositorio cuándo una IP estuvo presente en los resultados. He usado una de mis otras herramientas públicas, GitHub Repo OSINT Tool, para este propósito.
• Hay un conector de OpenCTI para este proyecto que se puede encontrar aquí - no recomendado para entornos de producción

¿Qué rastreo?

• C2's
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• Malware
  • AcidRain Stealer
  • Misha Stealer (AKA Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

Ejecución Local

Si deseas alojar una versión privada, coloca tu clave de API de Shodan en una variable de entorno llamada SHODAN_API_KEY, y configura tus credenciales de Censys en CENSYS_API_ID & CENSYS_API_SECRET

La función censys() está actualmente comentada/deshabilitada. Consulta tracker.py para más detalles

python3 -m pip install -r requirements.txt
python3 tracker.py

Contribuciones

Animo a abrir un issue/PR si conoces alguna búsqueda adicional en Shodan/Censys para identificar infraestructura adversaria. No estableceré pautas estrictas sobre lo que se puede enviar, solo debes saber que la fidelidad es primordial (el enfoque está en una alta relación de verdaderos/falsos positivos).

Referencias

• Caza de C2 con Shodan por Michael Koczwara
• Caza de Cobalt Strike C2 con Shodan por Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• Los OSINT-SearchOperators de BushidoToken
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router