C2 Трекер

C2 Трекер — это бесплатный, созданный сообществом канал IOC, который использует поиск через Shodan и Censys для сбора IP-адресов известных инфраструктур вредоносного ПО, ботнетов и C2.

Этот проект архивирован

Этот проект архивирован. Текстовые файлы в data/ удалены и больше не обновляются. Сигнатуры в tracker.py также не обновляются.

Проект по-прежнему можно запускать локально, см. ниже.

Благодарности

Многие запросы были взяты у других исследователей CTI:

• BushidoToken
• Michael Koczwara
• ViriBack
• Gi7W0rm
• Glacius_
• corumir
• salmanvsf
• SecurityJosh

Огромное им спасибо!

Спасибо BertJanCyber за создание KQL запроса для приёма этого фида

И, наконец, спасибо Y_nexro за создание C2Live для визуализации данных и веб-версии на c2tracker.com

Использование

Последняя коллекция будет сохранена в data/. IP-адреса разделены по имени инструмента, и есть all.txt, содержащий все IP-адреса. В настоящее время этот фид обновляется еженедельно по понедельникам.

Приём/Оповещение

• Если ваша SIEM/EDR/TIP умеет принимать данные из удалённого источника, вы можете использовать файлы в их сыром текстовом формате. В качестве примера см. KQL-запрос BertJanCyber выше
• FortinetSIEM 7.2.0 добавил поддержку этого фида разведданных - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Расследования/Исторический анализ

• Репозиторий по своей природе имеет контроль версий. Это означает, что вы можете искать в истории репозитория, когда IP-адрес присутствовал в результатах. Для этой цели я использовал один из своих других публичных инструментов, GitHub Repo OSINT Tool.
• Существует коннектор OpenCTI для этого проекта, который можно найти здесь - не рекомендуется для производственных сред

Что я отслеживаю?

• C2
  • Cobalt Strike
  • Metasploit Framework
  • Covenant
  • Mythic
  • Brute Ratel C4
  • Posh
  • Sliver
  • Deimos
  • PANDA
  • NimPlant C2
  • Havoc C2
  • Caldera
  • Empire
  • Ares
  • Hak5 Cloud C2
  • Pantegana
  • Supershell
  • Vshell
  • Villain
  • Nimplant C2
  • RedGuard C2
  • Oyster C2
  • byob C2
• Вредоносное ПО
  • AcidRain Stealer
  • Misha Stealer (также известный как Grand Misha)
  • Patriot Stealer
  • RAXNET Bitcoin Stealer
  • Titan Stealer
  • Collector Stealer
  • Mystic Stealer
  • Gotham Stealer

Локальный запуск

Если вы хотите разместить приватную версию, поместите ваш API-ключ Shodan в переменную окружения SHODAN_API_KEY и настройте учётные данные Censys в CENSYS_API_ID и CENSYS_API_SECRET

Функция censys() в настоящее время закомментирована/отключена. Подробности см. в tracker.py

python3 -m pip install -r requirements.txt
python3 tracker.py

Участие

Я призываю открывать issue/PR, если вы знаете о дополнительных поисковых запросах Shodan/Censys для выявления инфраструктуры противника. Я не буду устанавливать строгих правил относительно того, что можно отправлять, просто знайте: верность (fidelity) имеет первостепенное значение (основное внимание уделяется высокому соотношению истинных и ложных срабатываний).

Ссылки

• Hunting C2 with Shodan by Michael Koczwara
• Hunting Cobalt Strike C2 with Shodan by Michael Koczwara
• https://twitter.com/MichalKoczwara/status/1591750513238118401?cxt=HHwWgsDUiZGqhJcsAAAA
• BushidoToken's OSINT-SearchOperators
• https://twitter.com/MichalKoczwara/status/1641119242618650653
• https://twitter.com/MichalKoczwara/status/1641676761283850241
• https://twitter.com/_montysecurity/status/1643164749599834112
• https://twitter.com/ViriBack/status/1713714868564394336
• https://gi7w0rm.medium.com/the-curious-case-of-the-7777-botnet-86e3464c3ffd
• https://twitter.com/Glacius_/status/1731699013873799209
• https://www.team-cymru.com/post/botnet-7777-are-you-betting-on-a-compromised-router