C2 ट्रैकर

C2 ट्रैकर एक मुफ्त-उपयोग-समुदाय-संचालित IOC फ़ीड है जो ज्ञात मैलवेयर/बॉटनेट/C2 बुनियादी ढांचे के IP पतों को एकत्र करने के लिए Shodan और Censys खोजों का उपयोग करता है।

यह प्रोजेक्ट संग्रहीत किया गया है

यह प्रोजेक्ट संग्रहीत कर दिया गया है। data/ में स्थित टेक्स्ट फ़ाइलों को हटा दिया गया है और अब अपडेट नहीं किया जाता है। tracker.py में सिग्नेचर अब अपडेट नहीं किए जाते हैं।

यह प्रोजेक्ट अभी भी स्थानीय रूप से चलाया जा सकता है, नीचे देखें।

सम्माननीय उल्लेख

कई क्वेरीज़ अन्य CTI शोधकर्ताओं से ली गई हैं:

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

उन सभी को बहुत-बहुत धन्यवाद!

BertJanCyber का धन्यवाद जिन्होंने इस फ़ीड को इन्जेस्ट करने के लिए KQL क्वेरी बनाई।

और अंत में, Y_nexro का धन्यवाद जिन्होंने डेटा को विज़ुअलाइज़ करने और c2tracker.com पर वेबसाइट संस्करण बनाने के लिए C2Live बनाया।

उपयोग

सबसे हालिया संग्रह data/ में संग्रहीत किया जाएगा। IP को टूल के नाम के अनुसार अलग किया गया है और एक all.txt फ़ाइल है जिसमें सभी IP शामिल हैं। वर्तमान में, यह फ़ीड सोमवार को साप्ताहिक अपडेट होती है।

इन्जेस्ट/अलर्टिंग

• यदि आपके SIEM/EDR/TIP में दूरस्थ स्रोत से डेटा इन्जेस्ट करने की क्षमता है, तो आप फ़ाइलों का उपयोग उनके रॉ टेक्स्ट फ़ॉर्मेट में कर सकते हैं। उदाहरण के लिए ऊपर BertJanCyber की KQL क्वेरी देखें।
• FortinetSIEM 7.2.0 ने इस इंटेल फ़ीड के लिए समर्थन जोड़ा - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

जाँच/ऐतिहासिक विश्लेषण

• रिपॉजिटरी, अपनी प्रकृति से, संस्करण नियंत्रण रखती है। इसका मतलब है कि आप रिपॉजिटरी के इतिहास में खोज कर सकते हैं कि कोई IP परिणामों में कब मौजूद था। मैंने इस उद्देश्य के लिए अपने अन्य सार्वजनिक टूल, GitHub Repo OSINT Tool का उपयोग किया है।
• इस प्रोजेक्ट के लिए एक OpenCTI कनेक्टर है जिसे यहाँ पाया जा सकता है - उत्पादन वातावरण के लिए अनुशंसित नहीं है।

मैं क्या ट्रैक करता हूँ?

• C2's
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• Malware
  • AcidRain Stealer
  • Misha Stealer (AKA Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

स्थानीय रूप से चलाना

यदि आप एक निजी संस्करण होस्ट करना चाहते हैं, तो अपनी Shodan API कुंजी को SHODAN_API_KEY नामक पर्यावरण चर में रखें, और अपनी Censys क्रेडेंशियल्स को CENSYS_API_ID और CENSYS_API_SECRET में सेट करें।

censys() फ़ंक्शन वर्तमान में कमेंट आउट / अक्षम है। विवरण के लिए tracker.py देखें

python3 -m pip install -r requirements.txt
python3 tracker.py

योगदान

यदि आप प्रतिकूल बुनियादी ढांचे की पहचान करने के लिए किसी अतिरिक्त Shodan/Censys खोज के बारे में जानते हैं, तो मैं एक issue/PR खोलने के लिए प्रोत्साहित करता हूँ। मैं सबमिट किए जा सकने वाले पर कोई कठोर दिशानिर्देश निर्धारित नहीं करूंगा, बस इतना जान लें, सटीकता सर्वोपरि है (उच्च सत्य/गलत सकारात्मक अनुपात पर ध्यान केंद्रित है)।

संदर्भ

• Hunting C2 with Shodan by Michael Koczwara
• Hunting Cobalt Strike C2 with Shodan by Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• BushidoToken's OSINT-SearchOperators
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router