drb-ra/c2intelfeedsइंटरनेट स्कैनिंग से प्राप्त IPs, डोमेन, URL पथ और इम्प्लांट कॉन्फ़िगरेशन मेटाडेटा की स्वचालित रूप से जनरेट की गई C2 थ्रेट इंटेलिजेंस फ़ीड, जो SIEM, EDR और थ्रेट हंटिंग के लिए है।
स्वचालित रूप से बनाए गए C2 फ़ीड्स | @drb_ra के माध्यम से भी पोस्ट किए गए
1 मई, 2026 से कच्चा डेटा Modat के सौजन्य से प्रदान किया गया है -- https://modat.io/
पिछले कुछ वर्षों में प्रदान किए गए समर्थन के लिए Censys को नहीं, एक विशेष धन्यवाद।
C2IntelFeeds स्वचालित रूप से उत्पन्न Command-and-Control (C2) खतरा खुफिया फ़ीड्स का एक संग्रह है, जो बड़े पैमाने पर इंटरनेट स्कैनिंग डेटा (मुख्य रूप से Censys) से प्राप्त किया गया है।
ये फ़ीड्स रक्षकों के लिए हैं और इनके लिए उपयुक्त हैं:
यह परियोजना वास्तविक C2 अवसंरचना की पहचान पर केंद्रित है, मैलवेयर नमूनों पर नहीं।
इस रिपॉज़िटरी में कई सादा-पाठ, CSV, और JSON फ़ीड्स हैं जो संदिग्ध या पुष्ट C2 अवसंरचना को सूचीबद्ध करते हैं, जिनमें शामिल हैं:
फ़ीड्स स्वचालित रूप से अपडेट होते हैं और मुख्य रूप से हाल की गतिविधि को दर्शाते हैं।
अधिकांश फ़ीड्स दो समय सीमाओं में उपलब्ध हैं:
समय विंडो अंतिम बार देखी गई गतिविधि को संदर्भित करती है, निर्माण तिथि को नहीं।
इन फ़ीड्स का अतिरिक्त सत्यापन किया गया है और ये ज्ञात सौम्य अवसंरचना को बाहर रखते हैं।
| फ़ीड | विवरण |
|---|---|
| C2 IPs | सत्यापित C2 सर्वर IP पते |
| C2 Domains | ज्ञात C2 इम्प्लांट्स से निकाले गए डोमेन |
| C2 Domains (Filtered) | ऊपर के समान, उच्च-झूठे-सकारात्मक डोमेन हटाए गए |
| C2 Domains + URL | विशिष्ट C2 URI पथों वाले डोमेन |
| C2 Domains + URL + IP | डोमेन, पथ, और हल किए गए IP |
ये फ़ीड्स फ़िंगरप्रिंट मिलान से उत्पन्न होते हैं लेकिन इनमें झूठे सकारात्मक हो सकते हैं।
Domain Data स्कैन आर्टिफ़ैक्ट्स से प्राप्त किया जाता है और सटीकता बढ़ाने के लिए प्रकाशन के समय संबंधित IP डेटा के विरुद्ध सत्यापित किया जाता है।
| फ़ीड | विवरण |
|---|---|
| Unverified C2 IPs | स्कैन आर्टिफ़ैक्ट्स के आधार पर संभावित C2 IP पते |
| Unverified C2 Domains | स्कैन आर्टिफ़ैक्ट्स के आधार पर संभावित C2 डोमेन |
| Unverified KVM IPs | स्कैन आर्टिफ़ैक्ट्स के आधार पर KVM-संबंधित IP पते |
| Unverified KVM Domains | स्कैन आर्टिफ़ैक्ट्स के आधार पर KVM-संबंधित डोमेन |
| Unverified RMM IPs | स्कैन आर्टिफ़ैक्ट्स के आधार पर RMM-संबंधित IP पते |
| Unverified RMM Domains | स्कैन आर्टिफ़ैक्ट्स के आधार पर RMM-संबंधित डोमेन |
| IP + Port Pairs | गंतव्य IP और पोर्ट संयोजन |
⚠️ असत्यापित फ़ीड्स का सावधानी से उपयोग करें। स्थानीय सत्यापन की दृढ़ता से अनुशंसा की जाती है।
जहाँ संभव हो, निकाला गया C2 कॉन्फ़िगरेशन मेटाडेटा CSV और JSON प्रारूपों में शामिल किया जाता है।
विशिष्ट फ़ील्ड में शामिल हो सकते हैं:
मानक और 30-दिन दोनों प्रकार उपलब्ध हो सकते हैं।
फ़ीड्स Censys खोज क्वेरीज़ का उपयोग करके बनाए जाते हैं, जिन्हें निम्नलिखित को फ़िंगरप्रिंट करके ज्ञात C2 फ़्रेमवर्क का पता लगाने के लिए डिज़ाइन किया गया है:
| टूल | Modat Search |
|---|---|
| Sliver | same_service(service="unknown" transport="tcp" cert.issuer.cn="operators" cert.subject.cn="multiplayer") and same_service(service="http" transport="tcp" banner.sha256=dba60000613d7556f0b129e77a9451d6ce5a83f52f2d4830314d2e6b52b7928c) |
| Covenant | same_service(cert.issuer.cn="Covenant" cert.subject.cn="Covenant" ) OR same_service(web.title="Covenant"service="http" transport="tcp" technology="Kestrel" technology="Bootstrap") |
| Brute Ratel C4 | product="Brute Ratel C4" |
| Mythic | same_service(service="http" transport="tcp" cert.issuer.org="Mythic" cert.subject.org="Mythic" ) or same_service(banner.sha256=bc7e468313dcdc814784a20b5676188d19c033a1a3d9e3ebe1ff92f006522216 product!="Mythic C2") or product="Mythic C2" |
| Deimos | same_service(service="http" transport="tcp" banner.sha256=613dfd23a3e10f890cee3032b088cfcdf1bf53ed0851e192c0c93ee59b53821a web.html.sha256=99eb12f2ab3c4866a353e098ffa3cb7a967e617c49b98480394ec5d8ea92b094 cert.issuer.org="Acme Co" cert.subject.org="Acme Co" ) |
| Nighthawk C2 | [TBC] |
| Bianlian Go Trojan | [TBC] |
| Havoc | [TBC] |
| Responder | same_service(service="smb" transport="tcp" banner~"server_guid: AAAAAAAAAAAAAAAAAAAAAO6Fq/fq9gxPkoGSR23rdqk") |
| Pupy RAT | same_service(service="unknown" transport="tcp" cert.subject.ou="CONTROL" cert.subject.org=~"^[a-zA-Z]{10}$" cert.issuer.org=~"^[a-zA-Z]{10}$") OR product="Pupy RAT" |
| Qakbot | [TBC] |
| DcRat | cert='CN=DcRat Server, OU=qwqdanchun, O=DcRat By qwqdanchun, L=SH, C=CN' |
| Viper | same_service(web.title="VIPER" web.html.sha256=771fb5f8203ca3b8c3a184ebc4347d5308fd75ad57895bc8fddebe7f355ef20a) OR same_service(service="http" transport="tcp" product="Viper RAT") |
| Supershell | same_service(service="http" transport="tcp" product="Supershell C2") |
| Pikabot | [TBC] |
| Meduza Stealer | [TBC] |
| Evilginx/EvilGoPhish | same_service(service="http" transport="tcp" (web.title~"Evilginx" or web.title~"evilgophish" or cert.issuer.org="Evilginx API")) or product="Evilginx" |
| Hookbot/Pegasus | product="HookBot" |
| AsyncRAT | cert.issuer.cn='AsyncRAT Server' and cert.subject.cn='AsyncRAT Server' |
| Remcos | same_service(service="unknown" transport="tcp" cert.jarm=00000000000000000041d41d0000001798d6156df422564fb9b667b7418e4c) |
| DanaBot | [REDACTED] |
| Rhysida Trojan | [REDACTED] |
| Oyster Backdoor | [REDACTED] |
| SocGholish | [REDACTED] |
| NetSupport Manager RAT | same_service(transport="tcp" banner~"Server: NetSupport Gateway/") |
| Geacon_Pro | [TBC] |
| Hak5 Cloud C2 | [TBC] |
| CHAOS | product="CHAOS RAT" |
| Interactsh | same_service(product="Interactsh" tag="Security Tool") or banner~"interactsh" or same_service(port=53 service="dns" banner.sha256=7e04d9c09faea19579f0f8dfa02a45633401b8502e58cb323748665ef6a367ad) |
| BurpSuite Collaborator | product="BurpSuite Collaborator" |
| Reverse SSH | [REDACTED] |
| wstunnel | [REDACTED] |
| Ligolo-ng | [REDACTED] |
| Ransomhub Python C2 | [REDACTED] |
| Pyramid | [REDACTED] |
| VPN थीम वाली फ़िशिंग | [REDACTED] |
| StealC v2 | [TBC] |
| AdaptixC2 | [REDACTED] |
| Matanbuchus | [REDACTED] |
| Pywssocks | [REDACTED] |
