C2 Tracker

C2 Tracker 是一个免费使用、社区驱动的 IOC 情报源，利用 Shodan ~~和 Censys~~ 搜索来收集已知恶意软件/僵尸网络/C2 基础设施的 IP 地址。

此项目已归档

此项目已归档。data/ 中的文本文件已被移除，不再更新。tracker.py 中的签名也不再更新。

此项目仍可在本地运行，请参阅下方。

许多查询来源于其他 CTI 研究人员：

向他们致以崇高的敬意！

感谢 BertJanCyber 创建了用于导入此情报源的 KQL 查询

最后，感谢 Y_nexro 创建了 C2Live，用于可视化数据以及网站版本 c2tracker.com

最新的收录结果将存储在 data/ 中。IP 地址按工具名称分开，还有一个 all.txt 包含所有 IP。目前，此情报源每周一更新。

如果您的 SIEM/EDR/TIP 能够从远程源导入数据，则可以使用这些文件的原始文本格式。请参阅上面 BertJanCyber 的 KQL 查询作为示例
FortinetSIEM 7.2.0 已添加对此情报源的支持 - https://docs.fortinet.com/document/fortisiem/7.2.0/release-notes/553241/whats-new-in-7-2-0

由于仓库本身具有版本控制，您可以搜索仓库历史，查找某个 IP 何时出现在结果中。我使用了我自己的另一个公开工具 GitHub Repo OSINT Tool 来实现这一目的。
此项目有一个 OpenCTI 连接器，可在此处找到 - 不建议用于生产环境

如果您希望托管私有版本，请将 Shodan API 密钥放入名为 SHODAN_API_KEY 的环境变量中，并将 Censys 凭据设置在 CENSYS_API_ID 和 CENSYS_API_SECRET 中。

censys() 函数当前被注释或禁用。详情请参阅 tracker.py

python3 -m pip install -r requirements.txt
python3 tracker.py

如果您知道任何可用于识别敌方基础设施的额外 Shodan/Censys 搜索，欢迎提交 issue/PR。我不会对可提交内容设定严格指导原则，但请记住，保真度至关重要（重点在于高真阳性/假阳性比率）。