drb-ra/c2intelfeeds인터넷 스캔을 통해 도출된 IP, 도메인, URL 경로 및 임플란트 구성 메타데이터의 자동 생성 C2 위협 인텔리전스 피드로, SIEM, EDR 및 위협 헌팅에 활용됩니다.
자동 생성된 C2 피드 | @drb_ra를 통해서도 게시됨
2026년 5월 1일부터 원시 데이터는 Modat의 제공으로 이루어집니다 -- https://modat.io/
지난 몇 년간 지원해 주신 Censys가 아니라는 점에 특별히 감사드립니다.
C2IntelFeeds는 대규모 인터넷 스캐닝 데이터(주로 Censys)에서 파생된 자동 생성 명령 및 제어(Command-and-Control, C2) 위협 인텔리전스 피드 모음입니다.
이 피드는 방어자를 대상으로 하며 다음 용도에 적합합니다:
이 프로젝트는 악성코드 샘플이 아닌 실제 C2 인프라 식별에 중점을 둡니다.
이 저장소에는 의심되거나 확인된 C2 인프라를 나열하는 여러 일반 텍스트, CSV, JSON 피드가 포함되어 있으며, 다음을 포함합니다:
피드는 자동으로 업데이트되며 주로 최근 활동을 반영합니다.
대부분의 피드는 두 가지 시간 범위로 제공됩니다:
시간 범위는 생성 날짜가 아닌 마지막으로 관측된 활동을 의미합니다.
이 피드는 추가 검증을 거쳤으며 알려진 정상 인프라를 제외합니다.
| 피드 | 설명 |
|---|---|
| C2 IPs | 검증된 C2 서버 IP 주소 |
| C2 Domains | 알려진 C2 임플란트에서 추출된 도메인 |
| C2 Domains (Filtered) | 위와 동일하나 오탐 가능성이 높은 도메인을 제거함 |
| C2 Domains + URL | 특정 C2 URI 경로가 있는 도메인 |
| C2 Domains + URL + IP | 도메인, 경로 및 확인된 IP |
이 피드는 지문 일치를 기반으로 생성되지만 오탐을 포함할 수 있습니다.
도메인 데이터는 스캔 아티팩트에서 파생되며 정확도를 높이기 위해 게시 시점에 관련 IP 데이터와 대조하여 검증됩니다.
| 피드 | 설명 |
|---|---|
| Unverified C2 IPs | 스캔 아티팩트 기반의 잠재적 C2 IP 주소 |
| Unverified C2 Domains | 스캔 아티팩트 기반의 잠재적 C2 도메인 |
| Unverified KVM IPs | 스캔 아티팩트 기반의 KVM 관련 IP 주소 |
| Unverified KVM Domains | 스캔 아티팩트 기반의 KVM 관련 도메인 |
| Unverified RMM IPs | 스캔 아티팩트 기반의 RMM 관련 IP 주소 |
| Unverified RMM Domains | 스캔 아티팩트 기반의 RMM 관련 도메인 |
| IP + Port Pairs | 목적지 IP 및 포트 조합 |
⚠️ 미검증 피드는 주의해서 사용하십시오. 로컬 검증을 강력히 권장합니다.
가능한 경우 추출된 C2 구성 메타데이터가 CSV 및 JSON 형식으로 포함됩니다.
일반적인 필드는 다음을 포함할 수 있습니다:
표준 및 30일 변형이 모두 제공될 수 있습니다.
피드는 다음을 지문으로 식별하여 알려진 C2 프레임워크를 탐지하도록 설계된 Censys 검색 쿼리를 사용하여 구축됩니다:
| 도구 | Modat Search |
|---|---|
| Sliver | same_service(service="unknown" transport="tcp" cert.issuer.cn="operators" cert.subject.cn="multiplayer") and same_service(service="http" transport="tcp" banner.sha256=dba60000613d7556f0b129e77a9451d6ce5a83f52f2d4830314d2e6b52b7928c) |
| Covenant | same_service(cert.issuer.cn="Covenant" cert.subject.cn="Covenant" ) OR same_service(web.title="Covenant"service="http" transport="tcp" technology="Kestrel" technology="Bootstrap") |
| Brute Ratel C4 | product="Brute Ratel C4" |
| Mythic | same_service(service="http" transport="tcp" cert.issuer.org="Mythic" cert.subject.org="Mythic" ) or same_service(banner.sha256=bc7e468313dcdc814784a20b5676188d19c033a1a3d9e3ebe1ff92f006522216 product!="Mythic C2") or product="Mythic C2" |
| Deimos | same_service(service="http" transport="tcp" banner.sha256=613dfd23a3e10f890cee3032b088cfcdf1bf53ed0851e192c0c93ee59b53821a web.html.sha256=99eb12f2ab3c4866a353e098ffa3cb7a967e617c49b98480394ec5d8ea92b094 cert.issuer.org="Acme Co" cert.subject.org="Acme Co" ) |
| Nighthawk C2 | [TBC] |
| Bianlian Go Trojan | [TBC] |
| Havoc | [TBC] |
| Responder | same_service(service="smb" transport="tcp" banner~"server_guid: AAAAAAAAAAAAAAAAAAAAAO6Fq/fq9gxPkoGSR23rdqk") |
| Pupy RAT | same_service(service="unknown" transport="tcp" cert.subject.ou="CONTROL" cert.subject.org=~"^[a-zA-Z]{10}$" cert.issuer.org=~"^[a-zA-Z]{10}$") OR product="Pupy RAT" |
| Qakbot | [TBC] |
| DcRat | cert='CN=DcRat Server, OU=qwqdanchun, O=DcRat By qwqdanchun, L=SH, C=CN' |
| Viper | same_service(web.title="VIPER" web.html.sha256=771fb5f8203ca3b8c3a184ebc4347d5308fd75ad57895bc8fddebe7f355ef20a) OR same_service(service="http" transport="tcp" product="Viper RAT") |
| Supershell | same_service(service="http" transport="tcp" product="Supershell C2") |
| Pikabot | [TBC] |
| Meduza Stealer | [TBC] |
| Evilginx/EvilGoPhish | same_service(service="http" transport="tcp" (web.title~"Evilginx" or web.title~"evilgophish" or cert.issuer.org="Evilginx API")) or product="Evilginx" |
| Hookbot/Pegasus | product="HookBot" |
| AsyncRAT | cert.issuer.cn='AsyncRAT Server' and cert.subject.cn='AsyncRAT Server' |
| Remcos | same_service(service="unknown" transport="tcp" cert.jarm=00000000000000000041d41d0000001798d6156df422564fb9b667b7418e4c) |
| DanaBot | [REDACTED] |
| Rhysida Trojan | [REDACTED] |
| Oyster Backdoor | [REDACTED] |
| SocGholish | [REDACTED] |
| NetSupport Manager RAT | same_service(transport="tcp" banner~"Server: NetSupport Gateway/") |
| Geacon_Pro | [TBC] |
| Hak5 Cloud C2 | [TBC] |
| CHAOS | product="CHAOS RAT" |
| Interactsh | same_service(product="Interactsh" tag="Security Tool") or banner~"interactsh" or same_service(port=53 service="dns" banner.sha256=7e04d9c09faea19579f0f8dfa02a45633401b8502e58cb323748665ef6a367ad) |
| BurpSuite Collaborator | product="BurpSuite Collaborator" |
| Reverse SSH | [REDACTED] |
| wstunnel | [REDACTED] |
| Ligolo-ng | [REDACTED] |
| Ransomhub Python C2 | [REDACTED] |
| Pyramid | [REDACTED] |
| VPN Themed Phishing | [REDACTED] |
| StealC v2 | [TBC] |
| AdaptixC2 | [REDACTED] |
| Matanbuchus | [REDACTED] |
| Pywssocks | [REDACTED] |
저장소에는 제외 파일이 포함되어 있습니다: exclusions.rex
이 파일은 다음을 제거합니다:
필터링된 피드는 이러한 제외 항목을 자동으로 적용합니다.
이 피드는 다음 용도에 적합합니다:
자동화를 용이하게 하기 위해 의도적으로 단순한 형식으로 제공됩니다.
대부분의 사용자에게 가장 사용하기 쉬운 파일은 C2 IPs, C2 Domains Filtered 및 Unverified C2 IPs 또는 이들의 30일 버전입니다.
별도의 피드에는 알려진 다음 항목이 포함됩니다:
이는 다음에 도움이 됩니다:
이 프로젝트는 다음 라이선스에 따라 라이선스가 부여됩니다:
Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International (CC BY-NC-SA 4.0)
이 피드는 방어 및 연구 목적으로 있는 그대로(as-is) 제공됩니다.
이 프로젝트가 유용하다고 생각되면 저작자 표시를 해주시면 감사하겠습니다.
