Feeds de inteligência de ameaças C2 gerados automaticamente de IPs, domínios, caminhos de URL e metadados de configuração de implantes, derivados de varredura de internet para SIEM, EDR e threat hunting.
Feeds C2 criados automaticamente | Também publicados via @drb_ra
A partir de 1º de maio de 2026, os dados brutos são fornecidos cortesia da Modat -- https://modat.io/
Um agradecimento especial à Censys pelo suporte fornecido ao longo dos últimos anos.
C2IntelFeeds é uma coleção de feeds de threat intelligence de Command-and-Control (C2) gerados automaticamente, derivados de dados de varredura em larga escala da internet (principalmente Censys).
Esses feeds são destinados a defensores e são adequados para:
O projeto concentra-se em identificar infraestrutura C2 real, não amostras de malware.
Este repositório contém vários feeds em texto simples, CSV e JSON listando infraestrutura C2 suspeita ou confirmada, incluindo:
Os feeds são atualizados automaticamente e refletem principalmente atividade recente.
A maioria dos feeds está disponível em duas faixas de tempo:
A janela de tempo refere-se à última atividade observada, não à data de criação.
Esses feeds passaram por validação adicional e excluem infraestrutura benigna conhecida.
| Feed | Descrição |
|---|---|
| IPs de C2 | Endereços IP de servidores C2 validados |
| Domínios de C2 | Domínios extraídos de implantes C2 conhecidos |
| Domínios de C2 (filtrados) | O mesmo que acima, com domínios de alto índice de falsos positivos removidos |
| Domínios de C2 + URL | Domínios com caminhos de URI de C2 específicos |
| Domínios de C2 + URL + IP | Domínios, caminhos e IPs resolvidos |
Esses feeds são gerados a partir de correspondências de fingerprint, mas podem conter falsos positivos.
Os dados de domínio são derivados de artefatos de varredura e validados em relação aos dados de IP associados no momento da publicação para melhorar a precisão.
| Feed | Descrição |
|---|---|
| IPs de C2 não verificados | Possíveis endereços IP de C2 com base em artefatos de varredura |
| Domínios de C2 não verificados | Possíveis domínios de C2 com base em artefatos de varredura |
| IPs de KVM não verificados | Endereços IP relacionados a KVM com base em artefatos de varredura |
| Domínios de KVM não verificados | Domínios relacionados a KVM com base em artefatos de varredura |
| IPs de RMM não verificados | Endereços IP relacionados a RMM com base em artefatos de varredura |
| Domínios de RMM não verificados | Domínios relacionados a RMM com base em artefatos de varredura |
| Pares IP + porta | Combinações de IP de destino e porta |
⚠️ Use feeds não verificados com cautela. A validação local é fortemente recomendada.
Quando possível, metadados de configuração de C2 extraídos são incluídos nos formatos CSV e JSON.
Os campos típicos podem incluir:
Variantes padrão e de 30 dias podem estar disponíveis.
Os feeds são construídos usando consultas de busca do Censys projetadas para detectar frameworks C2 conhecidos por meio de fingerprinting de:
