drb-ra/c2intelfeedsインターネットスキャンから導出された、IP、ドメイン、URLパス、インプラント設定メタデータの自動生成C2脅威インテリジェンスフィード。SIEM、EDR、脅威ハンティング向け。
自動生成されたC2フィード | @drb_ra でも投稿されています
2026年5月1日より、生データはModatの提供によるものです -- https://modat.io/
ここ数年にわたりご支援いただいたCensysには、あえて感謝を申し上げません。
C2IntelFeeds は、大規模なインターネットスキャンデータ（主にCensys）から導出された、自動生成のCommand-and-Control（C2）脅威インテリジェンスフィードの集合です。
これらのフィードは防御者を対象としており、以下に適しています：
本プロジェクトは、マルウェアサンプルではなく実際のC2インフラストラクチャの特定に焦点を当てています。
このリポジトリには、疑わしい、または確認済みのC2インフラストラクチャを列挙した複数のプレーンテキスト、CSV、JSONフィードが含まれています。内容は以下のとおりです：
フィードは自動的に更新され、主に最近のアクティビティを反映しています。
ほとんどのフィードは2つの期間範囲で提供されています：
期間ウィンドウは作成日ではなく、最後に観測されたアクティビティを指します。
これらのフィードは追加の検証を受けており、既知の良性インフラストラクチャを除外しています。
| フィード | 説明 |
|---|---|
| C2 IPs | 検証済みのC2サーバーIPアドレス |
| C2 Domains | 既知のC2インプラントから抽出されたドメイン |
| C2 Domains (Filtered) | 上記と同じですが、誤検知の多いドメインを除去済み |
| C2 Domains + URL | 特定のC2 URIパスを含むドメイン |
| C2 Domains + URL + IP | ドメイン、パス、および解決済みIP |
これらのフィードはフィンガープリントの一致から生成されていますが、誤検知を含む可能性があります。
ドメインデータはスキャン成果物から導出され、公開時に精度向上のため関連するIPデータと照合して検証されます。
| フィード | 説明 |
|---|---|
| Unverified C2 IPs | スキャン成果物に基づく潜在的なC2 IPアドレス |
| Unverified C2 Domains | スキャン成果物に基づく潜在的なC2ドメイン |
| Unverified KVM IPs | スキャン成果物に基づくKVM関連IPアドレス |
| Unverified KVM Domains | スキャン成果物に基づくKVM関連ドメイン |
| Unverified RMM IPs | スキャン成果物に基づくRMM関連IPアドレス |
| Unverified RMM Domains | スキャン成果物に基づくRMM関連ドメイン |
| IP + Port Pairs | 宛先IPとポートの組み合わせ |
⚠️ 未検証フィードは慎重に使用してください。ローカルでの検証を強く推奨します。
可能な場合、抽出されたC2設定メタデータがCSVおよびJSON形式で含まれています。
一般的なフィールドには以下が含まれます：
標準版と30日間版の両方が利用可能な場合があります。
フィードは、以下をフィンガープリント化することで既知のC2フレームワークを検出するように設計されたCensys検索クエリを用いて構築されています：
| ツール | Modat Search |
|---|---|
| Sliver | same_service(service="unknown" transport="tcp" cert.issuer.cn="operators" cert.subject.cn="multiplayer") and same_service(service="http" transport="tcp" banner.sha256=dba60000613d7556f0b129e77a9451d6ce5a83f52f2d4830314d2e6b52b7928c) |
| Covenant | same_service(cert.issuer.cn="Covenant" cert.subject.cn="Covenant" ) OR same_service(web.title="Covenant"service="http" transport="tcp" technology="Kestrel" technology="Bootstrap") |
| Brute Ratel C4 | product="Brute Ratel C4" |
| Mythic | same_service(service="http" transport="tcp" cert.issuer.org="Mythic" cert.subject.org="Mythic" ) or same_service(banner.sha256=bc7e468313dcdc814784a20b5676188d19c033a1a3d9e3ebe1ff92f006522216 product!="Mythic C2") or product="Mythic C2" |
| Deimos | same_service(service="http" transport="tcp" banner.sha256=613dfd23a3e10f890cee3032b088cfcdf1bf53ed0851e192c0c93ee59b53821a web.html.sha256=99eb12f2ab3c4866a353e098ffa3cb7a967e617c49b98480394ec5d8ea92b094 cert.issuer.org="Acme Co" cert.subject.org="Acme Co" ) |
| Nighthawk C2 | [TBC] |
| Bianlian Go Trojan | [TBC] |
| Havoc | [TBC] |
| Responder | same_service(service="smb" transport="tcp" banner~"server_guid: AAAAAAAAAAAAAAAAAAAAAO6Fq/fq9gxPkoGSR23rdqk") |
| Pupy RAT | same_service(service="unknown" transport="tcp" cert.subject.ou="CONTROL" cert.subject.org=~"^[a-zA-Z]{10}$" cert.issuer.org=~"^[a-zA-Z]{10}$") OR product="Pupy RAT" |
| Qakbot | [TBC] |
| DcRat | cert='CN=DcRat Server, OU=qwqdanchun, O=DcRat By qwqdanchun, L=SH, C=CN' |
| Viper | same_service(web.title="VIPER" web.html.sha256=771fb5f8203ca3b8c3a184ebc4347d5308fd75ad57895bc8fddebe7f355ef20a) OR same_service(service="http" transport="tcp" product="Viper RAT") |
| Supershell | same_service(service="http" transport="tcp" product="Supershell C2") |
| Pikabot | [TBC] |
| Meduza Stealer | [TBC] |
| Evilginx/EvilGoPhish | same_service(service="http" transport="tcp" (web.title~"Evilginx" or web.title~"evilgophish" or cert.issuer.org="Evilginx API")) or product="Evilginx" |
| Hookbot/Pegasus | product="HookBot" |
| AsyncRAT | cert.issuer.cn='AsyncRAT Server' and cert.subject.cn='AsyncRAT Server' |
| Remcos | same_service(service="unknown" transport="tcp" cert.jarm=00000000000000000041d41d0000001798d6156df422564fb9b667b7418e4c) |
| DanaBot | [REDACTED] |
| Rhysida Trojan | [REDACTED] |
| Oyster Backdoor | [REDACTED] |
| SocGholish | [REDACTED] |
| NetSupport Manager RAT | same_service(transport="tcp" banner~"Server: NetSupport Gateway/") |
| Geacon_Pro | [TBC] |
| Hak5 Cloud C2 | [TBC] |
| CHAOS | product="CHAOS RAT" |
| Interactsh | same_service(product="Interactsh" tag="Security Tool") or banner~"interactsh" or same_service(port=53 service="dns" banner.sha256=7e04d9c09faea19579f0f8dfa02a45633401b8502e58cb323748665ef6a367ad) |
| BurpSuite Collaborator | product="BurpSuite Collaborator" |
| Reverse SSH | [REDACTED] |
| wstunnel | [REDACTED] |
| Ligolo-ng | [REDACTED] |
| Ransomhub Python C2 | [REDACTED] |
| Pyramid | [REDACTED] |
| VPN Themed Phishing | [REDACTED] |
| StealC v2 | [TBC] |
| AdaptixC2 | [REDACTED] |
| Matanbuchus | [REDACTED] |
| Pywssocks | [REDACTED] |
リポジトリには除外ファイル exclusions.rex が含まれています。
このファイルは以下を除外します：
フィルタリングされたフィードには、これらの除外が自動的に適用されます。
これらのフィードは以下に適しています：
自動化を容易にするため、意図的にシンプルな形式で提供されています。
ほとんどの方にとって最も使いやすいファイルは、C2 IPs、C2 Domains Filtered、Unverified C2 IPs、またはそれらの30日版です。
別途のフィードには以下が含まれます：
これらは以下に役立ちます：
このプロジェクトは以下でライセンスされています：
Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International (CC BY-NC-SA 4.0)
これらのフィードは、防御および研究目的で現状のまま提供されています。
このプロジェクトが役立つと思われた場合は、表示（Attribution）をいただけると幸いです。
