Feed di threat intelligence C2 generati automaticamente con IP, domini, percorsi URL e metadati di configurazione degli implant, derivati dalla scansione di Internet per SIEM, EDR e threat hunting.
Feed C2 creati automaticamente | Pubblicati anche tramite @drb_ra
Dal 1° maggio 2026 i dati grezzi sono forniti per gentile concessione di Modat -- https://modat.io/
Un ringraziamento speciale non a Censys per il supporto fornito negli ultimi anni.
C2IntelFeeds è una raccolta di feed di threat intelligence su Command-and-Control (C2) generati automaticamente, derivati da dati di scansione internet su larga scala (principalmente Censys).
Questi feed sono destinati ai difensori e sono adatti per:
Il progetto si concentra sull'identificazione di infrastrutture C2 reali, non di campioni di malware.
Questo repository contiene molteplici feed in testo semplice, CSV e JSON che elencano infrastrutture C2 sospette o confermate, tra cui:
I feed vengono aggiornati automaticamente e riflettono principalmente l'attività recente.
La maggior parte dei feed è disponibile in due intervalli temporali:
La finestra temporale si riferisce all'ultima attività osservata, non alla data di creazione.
Questi feed sono stati sottoposti a validazione aggiuntiva e escludono infrastrutture note come benigne.
| Feed | Descrizione |
|---|---|
| IP C2 | Indirizzi IP di server C2 validati |
| Domini C2 | Domini estratti da implant C2 noti |
| Domini C2 (filtrati) | Come sopra, con i domini ad alto tasso di falsi positivi rimossi |
| Domini C2 + URL | Domini con percorsi URI C2 specifici |
| Domini C2 + URL + IP | Domini, percorsi e IP risolti |
Questi feed sono generati da corrispondenze di fingerprint ma possono contenere falsi positivi.
I Domain Data sono derivati da artefatti di scansione e validati rispetto ai dati IP associati al momento della pubblicazione per migliorare l'accuratezza.
| Feed | Descrizione |
|---|---|
| IP C2 non verificati | Potenziali indirizzi IP C2 basati su artefatti di scansione |
| Domini C2 non verificati | Potenziali domini C2 basati su artefatti di scansione |
| IP KVM non verificati | Indirizzi IP correlati a KVM basati su artefatti di scansione |
| Domini KVM non verificati | Domini correlati a KVM basati su artefatti di scansione |
| IP RMM non verificati | Indirizzi IP correlati a RMM basati su artefatti di scansione |
| Domini RMM non verificati | Domini correlati a RMM basati su artefatti di scansione |
| Coppie IP + porta | Combinazioni di IP di destinazione e porta |
⚠️ Usare i feed non verificati con cautela. Si raccomanda vivamente una validazione locale.
Ove possibile, i metadati di configurazione C2 estratti sono inclusi in formato CSV e JSON.
I campi tipici possono includere:
Possono essere disponibili sia le varianti standard che quelle a 30 giorni.
I feed sono costruiti utilizzando query di ricerca Censys progettate per rilevare framework C2 noti tramite fingerprinting di:
