数据集网络安全【免费下载链接】cobaltstrike-beacon-corpus项目地址https://ai.gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus点击查看免费下载Fox-IT 开源数据集Cobalt Strike Beacon Corpus汇集了 2018 年 7 月至 2026 年 9 月间从互联网可直达的 Cobalt Strike Team Server 上直接下载的190,182 条 beacon 观测记录sightings和56,843 个去重后的 beacon 原始载荷并附带dissect.cobaltstrike解析出的完整配置。这是目前公开可查的规模最大、时间跨度最长的 Cobalt Strike C2 基础设施语料库适合威胁情报分析、安全研究和防御方狩猎threat hunting的新手快速上手。 一、数据集整体规模一览先记住这几个核心数字后面分析全靠它们指标数值独立 beacon原始载荷56,843观测记录sightings190,182独立 IP:PortTeam Server36,652独立 IP 地址30,313成功解析配置的记录189,882最早观测时间2018-07-04最近观测时间2026-09-29 一个 beacon 会被部署在多个 Team Server 上因此观测记录远多于独立 beacon——这正是分析 C2 基础设施分布的基础。 二、仓库结构与数据文件项目结构非常精简两个 Parquet 文件就是核心数据另有一份现成的分析 Notebook文件行数内容data/beacons.parquet190,182一行一条观测何时、从哪台服务器下载到了 beacon以及解析后的配置data/payloads.parquet56,843一行一个独立 beaconCaRT 封装的原始载荷beacon_research.ipynb—官方配套分析 NotebookDuckDB pandas matplotlib大部分研究只需要 beacons.parquet只有需要重新解析 beacon 或排查解析失败样本时才需要下载约 10 GB 的 payloads.parquet。两个文件在仓库中通过 Git LFS 管理首次克隆建议带上 LFS 大文件git clone https://gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpusbeacons.parquet的完整字段说明见 README.md 的 Schema 章节核心列包括sha256beacon 载荷哈希可关联 payloads 表collected_from_ip/collected_from_portTeam Server 的地址与端口53 表示 DNS 监听protocol监听协议http/https/dns等watermark/versionbeacon 水印与 Cobalt Strike 版本config_json完整解析配置域名、XOR key、stage 混淆方式、Guardrails 等tls_subject/tls_issuer/tls_fingerprint_sha256服务器 TLS 证书指纹用于聚类同一基础设施geo_asn/geo_as_org/geo_countryTeam Server IP 的归属与地理位置 三、协议与端口分布C2 基础设施藏在哪里这是本数据集最有价值的部分。统计全部 190,182 条观测的协议占比协议观测数占比独立 beaconTeam Server 数https102,23153.75%29,27819,121http69,03336.30%21,01513,672dns18,5889.77%6,4104,063未解析3260.17%13797结论很清晰HTTPS 是绝对主力其次是裸 HTTPDNS 通道约一成。再往下看 Top 10 端口答案更加直接排名端口观测数说明1443108,712HTTPSC2 第一大端口28063,771HTTP第二大端口35315,838DNS 通道48080537备选 Web 端口59999450常见 C2 备选端口68443207备选 HTTPS78888194备选端口85555102常见 C2 端口9777762备选端口10808859备选端口防御启示前 3 个端口贡献了 99% 以上的流量。如果你的检测规则聚焦在高信誉 Web 端口上的 beacon 行为如固定间隔请求、checksum8 校验 URI、TLS 证书异常基本覆盖了绝大多数现实威胁而 DNS 通道虽然量小却是绕过传统出站过滤的典型手段值得单独建规则数据集中甚至能看到攻击者使用 DoH 伪装 User-Agent 的配置如SETTING_DNS_DOH_USERAGENT。 四、趋势观察Team Server 数量与版本演进官方 Notebook beacon_research.ipynb 中内置了 43 个月的独立扫描指纹数据勾勒出 C2 基础设施的整体走势2023 年 8 月前后是峰值单月指纹化 Team Server 约 1,790 个之后持续回落2025 年初约 720 个到 2026 年 9 月已降至 338 个左右与此同时版本分布显示攻击者工具链仍在快速迭代2025 年末 4.9/4.11 版本占主导2025 年 11 月发布的4.12和 2026 年 6 月发布的4.13上线后迅速占据大量新增 beacon——说明攻击者更新工具的周期很短基于旧版本特征如水印、配置布局的检测规则会很快过时。一个容易被忽略的发现是Team Server 的生命周期非常短按ip:port身份统计36,589 个服务器中位存活期仅15 天p90 也只有 158 天最长一个存活了 2,072 天。这意味着 IP 情报的时效性很关键——今天恶意的主机半年后可能早已换人。 五、水印Watermark追踪同一威胁行为者的指纹Cobalt Strike 的每个 build 都带一个 32 位水印值同一运营者往往重复使用同一个水印。按水印聚合观测数Top 几名如下来自官方示例查询结果watermark观测数关联服务器数0x031,7764,9220x1234567828,8924,3610x3ade68b111,3652,4030x5109bf6d9,0351,5520x499602d28,5741,542⚠️ 注意0x0和0x12345678这类默认/示例值使用面极大只能作为弱线索真正做归因要结合pubkey_sha256、C2 域名、TLS 指纹共同判断。另外红队也会使用 Cobalt Strike不能仅凭语料库就断定某个 IP 或水印一定是恶意的。 六、发现被改造的恶意 Beacon数据集最有意思的玩法之一找那些刻意修改配置块来对抗解析器的 beacon。官方统计显示在 19 万条观测中约63,368 条同时命中复用水印 修改过的 jar 签名约21,109 条命中修改过的 jar 签名仅约33,970 条属于完全正常样本这类对抗手段在config_json里有直接痕迹modifications键例如remapped_types——攻击者把TYPE_SHORT/TYPE_INT/TYPE_PTR重映射成 65535/65534/65533导致朴素解析器直接失败dissect.cobaltstrike会自动纠正layout键记录设置项的 index/type/size 布局可用来发现被洗牌过的配置块guardrails键使用了 Guardrails 商业加固的 beacon含独立的 XOR key 与GUARD_COMPUTER等保护项 七、DuckDB 一键上手不加载数据的分析方法Parquet 文件可以像数据库表一样直接查询无需导入。官方推荐用 DuckDB 远程查询 Hugging Face 上的原始文件本地文件同理替换路径即可SELECT protocol, count(*) AS sightings, count(DISTINCT collected_from_ip) AS servers, min(collected_on) AS first_seen, max(collected_on) AS last_seen FROM hf://datasets/fox-srt/cobaltstrike-beacon-corpus/data/beacons.parquet GROUP BY protocol ORDER BY sightings DESC;常用新手查询思路都基于config_json的 JSON 提取按版本统计regexp_extract(version, (\d)\.(\d), 1)提取主/次版本号按月做堆叠图提取 C2 域名json_extract_string(config_json, $.domains[*])提取 XOR key 与公共密钥$.xorkey、$.settings.SETTING_PUBKEY地理分布直接GROUP BY geo_country, geo_as_org看 C2 主机在哪些国家/ISP完整的查询套路与图表代码都写在 beacon_research.ipynb 里包括 Team Server 月度趋势、协议占比、版本演进、水印聚类、生命周期曲线等是现成的学习模板。⚠️ 八、安全使用与数据局限安全红线必读payloads.parquet 中的 beacon 是活跃的恶意 stager可能包含真实可用的 C2 地址。原始载荷被 CaRT 格式封装目的是防止杀毒软件在下载阶段触发告警/隔离——不要在非隔离环境中解包运行语料库不包含任何能运行或破解 Cobalt Strike 的内容数据局限性官方声明分析结论时须考虑覆盖偏重 80/443/53 端口的服务器其他端口不具备整体代表性禁用 staging、使用重定向器或 domain fronting 的服务器覆盖不足部分月份存在采集空窗低数值应视为采集缺口而非使用量下降IP 和域名会回收再分配观测只反映采集当日的状态元数据与解析配置采用CC BY 4.0许可引用数据时可参考 README.md 末尾的 BibTeX 文献信息。✅ 小结Cobalt Strike Beacon Corpus 用 8 年、19 万条真实 beacon 数据回答了一个核心问题Cobalt Strike 的 C2 基础设施长什么样。答案是——HTTPS 443 为主战场约 54% 流量、HTTP 80 紧随其后、DNS 53 约占一成Team Server 生命周期中位数仅 15 天大量 beacon 经过水印复用与配置改造来对抗检测。无论是一行 DuckDB 查询还是完整的 Notebook 复现这个数据集都能帮你快速建立对 Cobalt Strike 威胁画像的量化认知。赞分享数据集网络安全【免费下载链接】cobaltstrike-beacon-corpus项目地址https://ai.gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus点击查看免费下载相关推荐15MB超轻量电视直播神器让老旧安卓设备重获新生15MB超轻量电视直播神器让老旧安卓设备重获新生 你是否还在为家里那台卡顿的老旧安卓电视而烦恼每次切换频道都要等待十几秒内存不足导致应用频繁闪退存储空间数据集网络安全Decepticon Cobalt Strike Beacon 作战手册Teamserver、Malleable C2 与 OPSEC 实战指南Decepticon Cobalt Strike Beacon 作战手册Teamserver、Malleable C2 与 OPSEC 实战指南 导读 本文档Anthropic-Cybersecurity-Skills 实战Cobalt Strike Beacon 配置提取与威胁分析Anthropic Cybersecurity Skills 实战Cobalt Strike Beacon 配置提取与威胁分析 本篇技术指南以 AnthropAI 技能网络安全人工智能上一篇如何用 3 步免费查看 .brd PCB 文件OpenBoardView 新手完整指南下一篇OpenSpeedy免费游戏变速使用指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考