C2 Tracker

C2 Tracker è un feed IOC gratuito e guidato dalla community che utilizza ricerche su Shodan e Censys per raccogliere indirizzi IP di infrastrutture C2 note di malware/botnet.

Questo Progetto è stato Archiviato

Questo progetto è stato archiviato. I file di testo in data/ sono stati rimossi e non vengono più aggiornati. Le firme in tracker.py non vengono più aggiornate.

Questo progetto può ancora essere eseguito localmente, vedi sotto.

Riconoscimenti

Molte delle query sono state ottenute da altri ricercatori CTI:

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

Un enorme ringraziamento a loro!

Grazie a BertJanCyber per aver creato la query KQL per l'ingestione di questo feed

E infine, grazie a Y_nexro per aver creato C2Live al fine di visualizzare i dati e la versione web su c2tracker.com

Utilizzo

La raccolta più recente sarà salvata in data/. Gli IP sono separati per nome dello strumento ed è presente un file all.txt che contiene tutti gli IP. Attualmente, questo feed viene aggiornato settimanalmente ogni lunedì.

Ingestione/Notifiche

• Se il tuo SIEM/EDR/TIP ha la capacità di importare dati da una fonte remota, puoi utilizzare i file nel loro formato di testo grezzo. Vedi la query KQL di BertJanCyber sopra come esempio
• FortinetSIEM 7.2.0 ha aggiunto il supporto per questo feed di intelligence - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Indagini/Analisi Storiche

• Il repository, per sua natura, ha il controllo di versione. Ciò significa che puoi cercare nella cronologia del repository quando un IP era presente nei risultati. Ho utilizzato uno degli altri miei strumenti pubblici, GitHub Repo OSINT Tool, per questo scopo.
• È presente un connettore OpenCTI per questo progetto che può essere trovato qui - non consigliato per ambienti di produzione

Cosa traccio?

• C2
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• Malware
  • AcidRain Stealer
  • Misha Stealer (AKA Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

Esecuzione Locale

Se desideri ospitare una versione privata, inserisci la tua chiave API di Shodan in una variabile d'ambiente chiamata SHODAN_API_KEY, e configura le tue credenziali Censys in CENSYS_API_ID e CENSYS_API_SECRET

La funzione censys() è attualmente commentata/disabilitata. Vedi tracker.py per i dettagli

python3 -m pip install -r requirements.txt
python3 tracker.py

Contribuire

Incoraggio ad aprire un issue/PR se conosci ulteriori ricerche Shodan/Censys per identificare l'infrastruttura degli avversari. Non stabilirò linee guida rigide su cosa possa essere inviato, tieni presente che la fedeltà è fondamentale (l'attenzione è su un alto rapporto vero/falso positivo).

Riferimenti

• Hunting C2 with Shodan by Michael Koczwara
• Hunting Cobalt Strike C2 with Shodan by Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• BushidoToken's OSINT-SearchOperators
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router