C2 Tracker

C2 Tracker é um feed de IOC gratuito e comunitário que usa pesquisas no Shodan e Censys para coletar endereços IP de infraestrutura conhecida de malware/botnet/C2.

Este Projeto foi Arquivado

Este projeto foi arquivado. Os arquivos de texto em data/ foram removidos e não são mais atualizados. As assinaturas em tracker.py não são mais atualizadas.

Este projeto ainda pode ser executado localmente, veja abaixo.

Menções Honrosas

Muitas das consultas foram obtidas de outros pesquisadores de CTI:

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

Um grande agradecimento a eles!

Agradecimentos a BertJanCyber por criar a consulta KQL para ingerir este feed

E finalmente, agradecimentos a Y_nexro por criar C2Live para visualizar os dados e a versão do site em c2tracker.com

Uso

A coleção mais recente será armazenada em data/. Os IPs são separados pelo nome da ferramenta e há um arquivo all.txt que contém todos os IPs. Atualmente, este feed é atualizado semanalmente às segundas-feiras.

Ingestão/Alertas

• Se seu SIEM/EDR/TIP tiver a capacidade de ingerir dados de uma fonte remota, então você pode usar os arquivos em seu formato de texto bruto. Veja a consulta KQL do BertJanCyber acima como exemplo
• FortinetSIEM 7.2.0 adicionou suporte para este feed de inteligência - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Investigações/Análise Histórica

• O repositório, por sua natureza, possui controle de versão. Isso significa que você pode pesquisar no histórico do repositório para saber quando um IP estava presente nos resultados. Usei uma das minhas outras ferramentas públicas, GitHub Repo OSINT Tool, para esse fim.
• Há um conector OpenCTI para este projeto que pode ser encontrado aqui - não recomendado para ambientes de produção

O que eu monitoro?

• C2's
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• Malware
  • AcidRain Stealer
  • Misha Stealer (AKA Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

Executando Localmente

Se você deseja hospedar uma versão privada, coloque sua chave de API do Shodan em uma variável de ambiente chamada SHODAN_API_KEY, e configure suas credenciais do Censys em CENSYS_API_ID e CENSYS_API_SECRET

A função censys() está atualmente comentada / desabilitada. Veja tracker.py para detalhes

python3 -m pip install -r requirements.txt
python3 tracker.py

Contribuindo

Incentivo a abertura de uma issue/PR se você conhecer pesquisas adicionais no Shodan/Censys para identificar infraestrutura adversária. Não estabelecerei diretrizes rígidas sobre o que pode ser submetido, apenas saiba que a fidelidade é primordial (a alta relação de verdadeiros/falsos positivos é o foco).

Referências

• Hunting C2 with Shodan by Michael Koczwara
• Hunting Cobalt Strike C2 with Shodan by Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• BushidoToken's OSINT-SearchOperators
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router