0xDanielLopez/TweetFeed

GitHub: 0xDanielLopez/TweetFeed

Stars: 637 | Forks: 68

TweetFeed

社区在 Twitter 上发布的 IOC 源

想要与 OpenCTI 集成？现在可以了！

![TweetFeed.live](https://static.pigsec.cn/wp-content/uploads/repos/2026/03/d5c6aa8dd7130724.png)

## ☰ 目录 - [收集的数据](#page_facing_up-data-collected) - [部分统计](#bar_chart-some-statistics) - [工作原理](#question-how-it-works) - [通过 Microsoft Defender 追猎 IOC](#mag-hunting-iocs-via-microsoft-defender) - [作者](#bust_in_silhouette-author) - [免责声明](#pushpin-disclaimer) ## :page_facing_up: 收集的数据

Feed

2026-03-03 04:49:29 (UTC)
今天	最近 7 天	最近 30 天	最近 365 天
:clipboard: 今天 (源文件)	:clipboard: 本周 (源文件)	:clipboard: 本月 (源文件)	:clipboard: 本年 (源文件)

输出示例

_{日期 (UTC)}	_来源用户	_类型	_值	_标签	_推文
_{2021-08-14 02:26:32}	_{phishunt_io}	_url	_{https://netflix.us2.cards/}	_{#phishing #scam}	_{https://twitter.com/phishunt_io/status/1426369619422502917}
_{2021-08-17 12:15:00}	_{TheDFIRReport}	_ip	_185.56.76.94	_#Trickbot	_{https://twitter.com/TheDFIRReport/status/1427604874053578756}

## :bar_chart: 部分统计

类型

| 类型 | 今天 | 本周 | 本月 | 本年 | | :--- | :---: | :---: | :---: | :---: | | **:link: URLs** | 4 | 368 | 2476 | 74921 | | **:globe_with_meridians: Domains** | 4 | 271 | 1860 | 48865 | | **:triangular_flag_on_post: IPs** | 0 | 108 | 640 | 24516 | | **:1234: SHA256** | 1 | 18 | 66 | 1977 | | **:1234: MD5** | 0 | 53 | 405 | 3773 |

| 标签 | 今天 | 本周 | 本月 | 本年 | | :--- | :---: | :---: | :---: | :---: | | **#phishing** | 4 | 110 | 555 | 67343 | | **#scam** | 0 | 42 | 160 | 10286 | | **#opendir** | 0 | 17 | 82 | 801 | | **#malware** | 0 | 30 | 116 | 11026 | | **#maldoc** | 0 | 0 | 0 | 4 | | **#ransomware** | 0 | 11 | 57 | 1091 | | **#banker** | 0 | 0 | 0 | 6 | | **#AgentTesla** | 0 | 1 | 6 | 224 | | **#Alienbot** | 0 | 0 | 0 | 0 | | **#AsyncRAT** | 0 | 14 | 82 | 2212 | | **#Batloader** | 0 | 0 | 0 | 0 | | **#BazarLoader** | 0 | 0 | 0 | 0 | | **#CobaltStrike** | 0 | 0 | 5 | 10072 | | **#Dcrat** | 0 | 0 | 0 | 385 | | **#Emotet** | 0 | 0 | 0 | 0 | | **#Formbook** | 0 | 0 | 60 | 584 | | **#GootLoader** | 0 | 0 | 0 | 0 | | **#GuLoader** | 0 | 0 | 0 | 56 | | **#IcedID** | 0 | 0 | 0 | 0 | | **#Lazarus** | 0 | 2 | 6 | 155 | | **#Lokibot** | 0 | 0 | 6 | 157 | | **#log4j** | 0 | 0 | 0 | 4 | | **#Log4shell** | 0 | 0 | 0 | 0 | | **#Njrat** | 0 | 0 | 37 | 1042 | | **#Qakbot** | 0 | 0 | 0 | 955 | | **#Raccoon** | 0 | 0 | 0 | 3 | | **#RedLine** | 0 | 0 | 2 | 157 | | **#Remcos** | 0 | 2 | 22 | 2987 | | **#RaspberryRobin** | 0 | 0 | 0 | 0 | | **#Spring4Shell** | 0 | 0 | 0 | 0 | | **#SocGolish** | 0 | 0 | 0 | 7 | | **#Ursnif** | 0 | 0 | 0 | 0 |

顶级举报者 (今天)

| 数量 | 用户 | IOCs | | :--- | :---: | :---: | | **#1** | [skocherhan](https://twitter.com/skocherhan) | 5 | | **#2** | [urldna_bot](https://twitter.com/urldna_bot) | 4 | | **#3** | [-](https://twitter.com/-) | 0 | | **#4** | [-](https://twitter.com/-) | 0 | | **#5** | [-](https://twitter.com/-) | 0 | | **#6** | [@Phish_Destroy](https://twitter.com/@Phish_Destroy) | 6 | | **#7** | [@CarlyGriggs13](https://twitter.com/@CarlyGriggs13) | 4 | | **#8** | [@urldna_bot](https://twitter.com/@urldna_bot) | 2 | | **#9** | [-](https://twitter.com/-) | 0 | | **#10** | [-](https://twitter.com/-) | 0 |

## :question: 工作原理搜索包含特定标签 **或者** 由特定 *infosec* 人员发布的推文。 ### 被搜索的标签 ##### *(不区分大小写)* ``` - #phishing - #scam - #opendir - #malware - #maldoc - #ransomware - #banker - #AgentTesla - #Alienbot - #AsyncRAT - #BazarLoader - #Batloader - #CobaltStrike - #Dcrat - #Emotet - #Formbook - #GootLoader - #GuLoader - #IcedID - #Lazarus - #Lokibot - #log4j - #Log4shell - #Njrat - #Qakbot - #Raccoon - #RedLine - #Remcos - #RaspberryRobin - #Spring4Shell - #SocGholish - #Ursnif ``` ### 同时搜索由以下用户发布的推文 ##### *(这些是值得信赖的人，他们有时不使用标签)*


[**TweetFeed 列表**](https://twitter.com/i/lists/1423693426437001224)

## :mag: 通过 Microsoft Defender 追猎 IOC **1. 使用 `年度` 推文 feed 搜索 `SHA256` 哈希** ``` let MaxAge = ago(30d); let SHA256_whitelist = pack_array( 'XXX' // Some SHA256 hash you want to whitelist. ); let TweetFeed = materialize ( (externaldata(report:string) [@"https://raw.githubusercontent.com/0xDanielLopez/TweetFeed/master/year.csv"] with (format = "txt")) | extend report = parse_csv(report) | extend Type = tostring(report[2]) | where Type == 'sha256' | extend SHA256 = tostring(report[3]) | where SHA256 !in(SHA256_whitelist) | extend Tag = tostring(report[4]) | extend Tweet = tostring(report[5]) | project SHA256, Tag, Tweet ); union ( TweetFeed | join ( DeviceProcessEvents | where Timestamp > MaxAge ) on SHA256 ), ( TweetFeed | join ( DeviceFileEvents | where Timestamp > MaxAge ) on SHA256 ), ( TweetFeed | join ( DeviceImageLoadEvents | where Timestamp > MaxAge ) on SHA256 ) | project Timestamp, DeviceName, FileName, FolderPath, SHA256, Tag, Tweet ```
**2. 使用 `月度` 推文 feed 搜索 `IP 地址`** ``` let MaxAge = ago(30d); let IPaddress_whitelist = pack_array( 'XXX' // Some IP address you want to whitelist. ); let TweetFeed = materialize ( (externaldata(report:string) [@"https://raw.githubusercontent.com/0xDanielLopez/TweetFeed/master/month.csv"] with (format = "txt")) | extend report = parse_csv(report) | extend Type = tostring(report[2]) | where Type == 'ip' | extend RemoteIP = tostring(report[3]) | where RemoteIP !in(IPaddress_whitelist) | where not(ipv4_is_private(RemoteIP)) | extend Tag = tostring(report[4]) | extend Tweet = tostring(report[5]) | project RemoteIP, Tag, Tweet ); union ( TweetFeed | join ( DeviceNetworkEvents | where Timestamp > MaxAge ) on RemoteIP ) | project Timestamp, DeviceName, RemoteIP, Tag, Tweet ```
**3. 使用 `周度` 推文 feed 搜索 `urls` 和 `domains`** ``` let MaxAge = ago(30d); let domain_whitelist = pack_array( 'XXX' // Some URL/Domain you want to whitelist. ); let TweetFeed = materialize ( (externaldata(report:string) [@"https://raw.githubusercontent.com/0xDanielLopez/TweetFeed/master/week.csv"] with (format = "txt")) | extend report = parse_csv(report) | extend Type = tostring(report[2]) | where Type in('url','domain') | extend RemoteUrl = tostring(report[3]) | where RemoteUrl !in(domain_whitelist) | extend Tag = tostring(report[4]) | extend Tweet = tostring(report[5]) | project RemoteUrl, Tag, Tweet ); union ( TweetFeed | join ( DeviceNetworkEvents | where Timestamp > MaxAge ) on RemoteUrl ) | project Timestamp, DeviceName, RemoteUrl, Tag, Tweet ``` ## :bust_in_silhouette: 作者 * [**Daniel López**](https://twitter.com/0xDanielLopez) ## :pushpin: 免责声明请注意，所有数据均收集自 Twitter，并按 **尽力而为** 的原则在此进行整理/提供。我已经尝试尽可能调整搜索，试图只收集有价值的信息。但是，请考虑在对这些 IOC 采取任何行动之前进行自己的分析。如有任何疑问，请随时 **[联系我](https://twitter.com/0xDanielLopez)** 或就任何贡献或建议提供任何形式的 **[反馈](https://tweetfeed.live/feedback.html)**。

源于社区，服务社区。

标签：CSV, ESC4, IOC, MD5, Microsoft Defender, OpenCTI, OSINT, SHA256, Twitter, 哈希, 失陷指标, 威胁情报, 威胁猎杀, 安全数据源, 安全社区, 开发者工具, 恶意IP, 恶意URL, 恶意域名, 情报源, 红队平台, 网络安全, 自动化收集, 隐私保护