自动创建的 C2 情报源 | 同时通过 @drb_ra 发布
自 2026 年 5 月 1 日起，原始数据由 Modat 提供 -- https://modat.io/
特别感谢 Censys 在过去几年中提供的支持——此处为反讽。
C2IntelFeeds 是一组自动生成的命令与控制（C2）威胁情报源，来源于大规模互联网扫描数据（主要为 Censys）。
这些情报源面向防御者，适用于：
本项目专注于识别真实的 C2 基础设施，而非恶意软件样本。
本仓库包含多个纯文本、CSV 和 JSON 格式的情报源，列出疑似或已确认的 C2 基础设施，包括：
情报源会自动更新，主要反映近期活动。
大多数情报源提供两种时间范围：
时间窗口指的是最后观测到的活动时间，而非创建日期。
这些情报源经过了额外验证，并排除了已知的良性基础设施。
| 情报源 | 描述 |
|---|---|
| C2 IPs | 已验证的 C2 服务器 IP 地址 |
| C2 Domains | 从已知 C2 植入体中提取的域名 |
| C2 Domains (Filtered) | 同上，但移除了高误报域名 |
| C2 Domains + URL | 带特定 C2 URI 路径的域名 |
| C2 Domains + URL + IP | 域名、路径及解析后的 IP |
这些情报源基于指纹匹配生成，但可能包含误报。
域名数据来源于扫描产物，并在发布时与关联的 IP 数据进行验证以提高准确性。
| 情报源 | 描述 |
|---|---|
| Unverified C2 IPs | 基于扫描产物的潜在 C2 IP 地址 |
| Unverified C2 Domains | 基于扫描产物的潜在 C2 域名 |
| Unverified KVM IPs | 基于扫描产物的 KVM 相关 IP 地址 |
| Unverified KVM Domains | 基于扫描产物的 KVM 相关域名 |
| Unverified RMM IPs | 基于扫描产物的 RMM 相关 IP 地址 |
| Unverified RMM Domains | 基于扫描产物的 RMM 相关域名 |
| IP + Port Pairs | 目标 IP 与端口组合 |
⚠️ 请谨慎使用未验证情报源。强烈建议进行本地验证。
在可能的情况下，提取的 C2 配置元数据会以 CSV 和 JSON 格式提供。
典型字段可能包括：
标准和 30 天变体均可能提供。
情报源通过 Censys 搜索查询构建，旨在通过对以下内容进行指纹识别来检测已知 C2 框架：
| 工具 | Modat Search |
|---|---|
| Sliver | same_service(service="unknown" transport="tcp" cert.issuer.cn="operators" cert.subject.cn="multiplayer") and same_service(service="http" transport="tcp" banner.sha256=dba60000613d7556f0b129e77a9451d6ce5a83f52f2d4830314d2e6b52b7928c) |
| Covenant | same_service(cert.issuer.cn="Covenant" cert.subject.cn="Covenant" ) OR same_service(web.title="Covenant"service="http" transport="tcp" technology="Kestrel" technology="Bootstrap") |
| Brute Ratel C4 | product="Brute Ratel C4" |
| Mythic | same_service(service="http" transport="tcp" cert.issuer.org="Mythic" cert.subject.org="Mythic" ) or same_service(banner.sha256=bc7e468313dcdc814784a20b5676188d19c033a1a3d9e3ebe1ff92f006522216 product!="Mythic C2") or product="Mythic C2" |
| Deimos | same_service(service="http" transport="tcp" banner.sha256=613dfd23a3e10f890cee3032b088cfcdf1bf53ed0851e192c0c93ee59b53821a web.html.sha256=99eb12f2ab3c4866a353e098ffa3cb7a967e617c49b98480394ec5d8ea92b094 cert.issuer.org="Acme Co" cert.subject.org="Acme Co" ) |
| Nighthawk C2 | [TBC] |
| Bianlian Go Trojan | [TBC] |
| Havoc | [TBC] |
| Responder | same_service(service="smb" transport="tcp" banner~"server_guid: AAAAAAAAAAAAAAAAAAAAAO6Fq/fq9gxPkoGSR23rdqk") |
| Pupy RAT | same_service(service="unknown" transport="tcp" cert.subject.ou="CONTROL" cert.subject.org=~"^[a-zA-Z]{10}$" cert.issuer.org=~"^[a-zA-Z]{10}$") OR product="Pupy RAT" |
| Qakbot | [TBC] |
| DcRat | cert='CN=DcRat Server, OU=qwqdanchun, O=DcRat By qwqdanchun, L=SH, C=CN' |
| Viper | same_service(web.title="VIPER" web.html.sha256=771fb5f8203ca3b8c3a184ebc4347d5308fd75ad57895bc8fddebe7f355ef20a) OR same_service(service="http" transport="tcp" product="Viper RAT") |
| Supershell | same_service(service="http" transport="tcp" product="Supershell C2") |
| Pikabot | [TBC] |
| Meduza Stealer | [TBC] |
| Evilginx/EvilGoPhish | same_service(service="http" transport="tcp" (web.title~"Evilginx" or web.title~"evilgophish" or cert.issuer.org="Evilginx API")) or product="Evilginx" |
| Hookbot/Pegasus | product="HookBot" |
| AsyncRAT | cert.issuer.cn='AsyncRAT Server' and cert.subject.cn='AsyncRAT Server' |
| Remcos | same_service(service="unknown" transport="tcp" cert.jarm=00000000000000000041d41d0000001798d6156df422564fb9b667b7418e4c) |
| DanaBot | [REDACTED] |
| Rhysida Trojan | [REDACTED] |
| Oyster Backdoor | [REDACTED] |
| SocGholish | [REDACTED] |
| NetSupport Manager RAT | same_service(transport="tcp" banner~"Server: NetSupport Gateway/") |
| Geacon_Pro | [TBC] |
| Hak5 Cloud C2 | [TBC] |
| CHAOS | product="CHAOS RAT" |
| Interactsh | same_service(product="Interactsh" tag="Security Tool") or banner~"interactsh" or same_service(port=53 service="dns" banner.sha256=7e04d9c09faea19579f0f8dfa02a45633401b8502e58cb323748665ef6a367ad) |
| BurpSuite Collaborator | product="BurpSuite Collaborator" |
| Reverse SSH | [REDACTED] |
| wstunnel | [REDACTED] |
| Ligolo-ng | [REDACTED] |
| Ransomhub Python C2 | [REDACTED] |
| Pyramid | [REDACTED] |
| VPN Themed Phishing | [REDACTED] |
| StealC v2 | [TBC] |
| AdaptixC2 | [REDACTED] |
| Matanbuchus | [REDACTED] |
| Pywssocks | [REDACTED] |
该仓库包含一个排除文件：exclusions.rex
该文件会移除：
经过过滤的订阅源会自动应用这些排除项。
这些订阅源适用于：
它们特意以简单格式提供，以便于自动化处理。
对大多数人来说，最易使用的文件应该是 C2 IPs、C2 Domains Filtered 和 Unverified C2 IPs，或它们对应的 30 天版本。
单独的订阅源包含已知的：
这些可以帮助：
本项目采用以下许可证：
Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International (CC BY-NC-SA 4.0)
这些订阅源按原样提供，用于防御和研究目的。
如果你觉得这个项目有用，欢迎署名。
本作品采用 Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International License 许可协议进行许可。
