C2 Tracker

C2 Tracker est un flux IOC gratuit, communautaire, qui utilise les recherches Shodan et Censys pour collecter les adresses IP d'infrastructures C2/botnet/malware connues.

Ce projet a été archivé

Ce projet a été archivé. Les fichiers texte dans data/ ont été supprimés et ne sont plus mis à jour. Les signatures dans tracker.py ne sont plus mises à jour.

Ce projet peut toujours être exécuté localement, voir ci-dessous.

Mentions honorables

Nombre des requêtes proviennent d'autres chercheurs en CTI :

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

Un grand merci à eux !

Merci à BertJanCyber pour avoir créé la requête KQL pour ingérer ce flux

Et enfin, merci à Y_nexro pour avoir créé C2Live afin de visualiser les données et la version site web à l'adresse c2tracker.com

Utilisation

La collecte la plus récente sera stockée dans data/. Les IP sont séparées par le nom de l'outil et il y a un fichier all.txt qui contient toutes les IP. Actuellement, ce flux est mis à jour weekly le lundi.

Ingestion/Alerte

• Si votre SIEM/EDR/TIP peut ingérer des données depuis une source distante, vous pouvez utiliser les fichiers dans leur format texte brut. Voir la requête KQL de BertJanCyber ci-dessus comme exemple
• FortinetSIEM 7.2.0 a ajouté la prise en charge de ce flux d'intelligence - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Investigations/Analyse historique

• Le dépôt, de par sa nature, est versionné. Cela signifie que vous pouvez rechercher dans l'historique du dépôt quand une IP était présente dans les résultats. J'ai utilisé l'un de mes autres outils publics, GitHub Repo OSINT Tool, à cette fin.
• Il existe un connecteur OpenCTI pour ce projet qui peut être trouvé ici - non recommandé pour les environnements de production

Qu'est-ce que je traque ?

• C2's
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• Malwares
  • AcidRain Stealer
  • Misha Stealer (alias Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

Exécution locale

Si vous souhaitez héberger une version privée, placez votre clé API Shodan dans une variable d'environnement appelée SHODAN_API_KEY, et configurez vos identifiants Censys dans CENSYS_API_ID et CENSYS_API_SECRET

La fonction censys() est actuellement commentée/désactivée. Voir tracker.py pour les détails

python3 -m pip install -r requirements.txt
python3 tracker.py

Contribution

J'encourage à ouvrir un issue/PR si vous connaissez des recherches supplémentaires Shodan/Censys pour identifier des infrastructures adverses. Je ne fixerai pas de directives strictes sur ce qui peut être soumis, mais sachez que la fidélité est primordiale (l'accent est mis sur un rapport vrai/faux positifs élevé).

Références

• Chasser le C2 avec Shodan par Michael Koczwara
• Chasser le C2 Cobalt Strike avec Shodan par Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• Le OSINT-SearchOperators de BushidoToken
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router