C2 Трекер

C2 Трекер — это бесплатный, созданный сообществом канал IOC, который использует поиск через Shodan ~~и Censys~~ для сбора IP-адресов известных инфраструктур вредоносного ПО, ботнетов и C2.

Этот проект архивирован

Этот проект архивирован. Текстовые файлы в data/ удалены и больше не обновляются. Сигнатуры в tracker.py также не обновляются.

Проект по-прежнему можно запускать локально, см. ниже.

Благодарности

Многие запросы были взяты у других исследователей CTI:

Огромное им спасибо!

Спасибо BertJanCyber за создание KQL запроса для приёма этого фида

И, наконец, спасибо Y_nexro за создание C2Live для визуализации данных и веб-версии на c2tracker.com

Использование

Последняя коллекция будет сохранена в data/. IP-адреса разделены по имени инструмента, и есть all.txt, содержащий все IP-адреса. В настоящее время этот фид обновляется еженедельно по понедельникам.

Приём/Оповещение

Если ваша SIEM/EDR/TIP умеет принимать данные из удалённого источника, вы можете использовать файлы в их сыром текстовом формате. В качестве примера см. KQL-запрос BertJanCyber выше
FortinetSIEM 7.2.0 добавил поддержку этого фида разведданных - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

Расследования/Исторический анализ

Репозиторий по своей природе имеет контроль версий. Это означает, что вы можете искать в истории репозитория, когда IP-адрес присутствовал в результатах. Для этой цели я использовал один из своих других публичных инструментов, GitHub Repo OSINT Tool.
Существует коннектор OpenCTI для этого проекта, который можно найти здесь - не рекомендуется для производственных сред

Что я отслеживаю?

C2
- Cobalt Strike
- Metasploit Framework
- Covenant
- Mythic
- Brute Ratel C4
- Posh
- Sliver
- Deimos
- PANDA
- NimPlant C2
- Havoc C2
- Caldera
- Empire
- Ares
- Hak5 Cloud C2
- Pantegana
- Supershell
- Vshell
- Villain
- Nimplant C2
- RedGuard C2
- Oyster C2
- byob C2
Вредоносное ПО
- AcidRain Stealer
- Misha Stealer (также известный как Grand Misha)
- Patriot Stealer
- RAXNET Bitcoin Stealer
- Titan Stealer
- Collector Stealer
- Mystic Stealer
- Gotham Stealer
- Meduza Stealer
- Quasar RAT
- ShadowPad
- AsyncRAT
- DcRat
- BitRAT
- DarkComet Trojan
- XtremeRAT Trojan
- NanoCore RAT Trojan
- Gh0st RAT Trojan
- DarkTrack RAT Trojan
- njRAT Trojan
- Remcos Pro RAT Trojan
- Poison Ivy Trojan
- Orcus RAT Trojan
- ZeroAccess Trojan
- HOOKBOT Trojan
- RisePro Stealer
- NetBus Trojan
- Bandit Stealer
- Mint Stealer
- Mekotio Trojan
- Gozi Trojan
- Atlandida Stealer
- VenomRAT
- Orcus RAT
- BlackDolphin
- Artemis RAT
- Godzilla Loader
- Jinx Loader
- Netpune Loader
- SpyAgent
- SpiceRAT
- Dust RAT
- Pupy RAT
- Atomic Stealer
- Lumma Stealer
- Serpent Stealer
- Axile Stealer
- Vector Stealer
- Mint Stealer
- Z3us Stealer
- Rastro Stealer
- Darkeye Stealer
- Agniane Stealer
- Epsilon Stealer
- Bahamut Stealer
- Unam Web Panel / SilentCryptoMiner
- Vidar Stealer
- Kraken RAT
- Bumblebee Loader
- Viper RAT
- Spectre Stealer
- Sectop RAT
Инструменты
Ботнеты
- 7777
- BlackNET
- Doxerina
- Scarab
- 63256
- Kaiji
- MooBot
- Mozi

Локальный запуск

Если вы хотите разместить приватную версию, поместите ваш API-ключ Shodan в переменную окружения SHODAN_API_KEY и настройте учётные данные Censys в CENSYS_API_ID и CENSYS_API_SECRET

Функция censys() в настоящее время закомментирована/отключена. Подробности см. в tracker.py

python3 -m pip install -r requirements.txt
python3 tracker.py

Участие

Я призываю открывать issue/PR, если вы знаете о дополнительных поисковых запросах Shodan/Censys для выявления инфраструктуры противника. Я не буду устанавливать строгих правил относительно того, что можно отправлять, просто знайте: верность (fidelity) имеет первостепенное значение (основное внимание уделяется высокому соотношению истинных и ложных срабатываний).

C2-Tracker

Популярное