C2 Tracker

C2 Tracker は、Shodan ~~および Censys~~ の検索を使用して、既知のマルウェア/ボットネット/C2 インフラストラクチャの IP アドレスを収集する、無料でコミュニティ運営の IOC フィードです。

このプロジェクトはアーカイブされました

このプロジェクトはアーカイブされました。data/ 内のテキストファイルは削除され、更新されなくなりました。tracker.py のシグネチャも更新されなくなりました。

このプロジェクトはローカルで実行することは可能です。下記を参照してください。

多くのクエリは他の CTI 研究者から提供されたものです：

彼らに大きな感謝を！

このフィードを取り込むための KQL クエリを作成してくれた BertJanCyber に感謝します。

そして最後に、データを可視化するための C2Live とウェブサイト版 c2tracker.com を作成してくれた Y_nexro に感謝します。

最新のコレクションは data/ に保存されます。IP はツール名ごとに分けられ、すべての IP を含む all.txt があります。現在、このフィードは毎週月曜日に更新されます。

SIEM/EDR/TIP がリモートソースからデータを取り込める場合、ファイルを生のテキスト形式で使用できます。例として上記の BertJanCyber の KQL クエリを参照してください。
FortinetSIEM 7.2.0 はこのインテルフィードのサポートを追加しました - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

リポジトリはその性質上、バージョン管理されています。つまり、リポジトリの履歴を検索して、IP が結果に存在した時期を調べることができます。私はこの目的のために、別の公開ツールである GitHub Repo OSINT Tool を使用しました。
このプロジェクト用の OpenCTI コネクタはこちらにあります - 本番環境では推奨されません

プライベートバージョンをホストしたい場合は、Shodan API キーを環境変数 SHODAN_API_KEY に設定し、Censys の認証情報を CENSYS_API_ID と CENSYS_API_SECRET に設定してください。

censys() 関数は現在コメントアウト/無効化されています。詳細は tracker.py を参照してください。

python3 -m pip install -r requirements.txt
python3 tracker.py

敵対的インフラストラクチャを特定するための追加の Shodan/Censys 検索をご存知の場合は、Issue または PR を開くことを推奨します。提出に関する厳格なガイドラインは設けませんが、忠実性が最も重要 であること (高い真陽性/偽陽性率に焦点を当てる) を理解してください。