Covenant

Covenant — это .NET-фреймворк для управления и контроля (C2), предназначенный для демонстрации поверхности атаки .NET, упрощения использования наступательных .NET-методов и создания совместной платформы управления для участников красных команд.

Covenant — это кроссплатформенное приложение на ASP.NET Core с веб-интерфейсом, поддерживающее совместную работу нескольких пользователей.

Краткое руководство

См. руководство Установка и запуск, чтобы начать работу с Covenant!

Вики содержит документацию по большинству основных функций Covenant и их использованию.

Возможности

Covenant обладает рядом ключевых возможностей, которые делают его полезным и отличают от других фреймворков управления:

• Интуитивно понятный интерфейс — Covenant предоставляет удобное веб-приложение для проведения совместных операций красных команд.
• Мультиплатформенность — Covenant работает на .NET Core, что обеспечивает его нативную работу на платформах Linux, macOS и Windows. Кроме того, Covenant поддерживает Docker, что позволяет запускать его в контейнере на любой системе с установленным Docker.
• Совместная работа нескольких пользователей — Covenant поддерживает многопользовательскую коллаборацию. Возможность совместной работы стала критически важной для эффективных операций красных команд. Множество пользователей могут взаимодействовать с одним сервером Covenant и работать независимо или совместно.
• Управление через API — Covenant управляется через API, обеспечивающее совместную работу нескольких пользователей и легкую расширяемость. Кроме того, Covenant включает Swagger UI, что упрощает разработку и отладку.
• Профили слушателей — Covenant поддерживает «профили» слушателей, которые контролируют внешний вид сетевого взаимодействия между имплантами Grunt и слушателями Covenant.
• Шифрованный обмен ключами — Covenant реализует шифрованный обмен ключами между имплантами Grunt и слушателями Covenant, во многом основанный на аналогичном обмене в проекте Empire, в дополнение к опциональному шифрованию SSL. Это обеспечивает криптографическое свойство прямой секретности (forward secrecy) для имплантов Grunt.
• Динамическая компиляция — Covenant использует API Roslyn для динамической компиляции C#. При каждом создании нового Grunt или назначении новой задачи соответствующий код перекомпилируется и обфусцируется с помощью ConfuserEx, что исключает полностью статические полезные нагрузки. Covenant использует большую часть кода компиляции из проекта SharpGen, который был подробно описан в предыдущей статье.
• Выполнение C# на лету — Covenant заимствует код и идеи из проектов SharpGen и SharpShell, позволяя операторам выполнять однострочные скрипты C# на имплантах Grunt. Это обеспечивает функциональность, аналогичную описанной в статье SharpShell, но позволяет выполнять однострочные скрипты на удаленных имплантах.
• Отслеживание индикаторов — Covenant отслеживает «индикаторы» на протяжении всей операции и сводит их в меню «Индикаторы». Это позволяет оператору выполнять действия, которые отслеживаются, и легко суммировать эти действия для синей команды во время или в конце оценки для целей разрешения конфликтов и обучения. Эта функция все еще находится на ранней стадии развития и имеет пространство для улучшений.
• Разработан на C# — Лично мне нравится разрабатывать на C#, что, возможно, не удивительно для тех, кто читал мои последние блоги или инструменты. Не все согласятся, что разработка на C# идеальна, но, надеюсь, все согласны, что приятно, когда все компоненты фреймворка написаны на одном языке. Я нашел очень удобным писать сервер, клиент и имплант на одном языке. Это, возможно, не настоящая «фича», но, надеюсь, это позволит другим легко вносить вклад в проект.

Вопросы и обсуждения

Есть вопросы или хотите обсудить Covenant? Присоединяйтесь к каналу #Covenant в Slack BloodHound Gang.