观成科技：加密C2框架Covenant流量分析

• 工具介绍

Covenant是一个基于.NET的开源C2服务器，可以通过HTTP/HTTPS 控制Covenant agent，从而实现对目标的远程控制。Covenant agent在与C2通信时，使用base64/AES加密载荷的HTTP隧道构建加密通道。亦可选择使用SSL/TLS标准加密协议，但需自行准备证书，此工具并没有C&C服务端默认SSL证书。

• 工具原理分析

1. 工作流程

利用Covenant C2工具进行一次完整建联包含3个阶段，流程如下图所示：

1. 阶段1：

被控制端主动连接控制端，并使用GET方法请求默认的url：/en-us/index.html、/en-us/docs.html、/en-us/test.html其中之一来判断控制端是否存活。

1. 阶段2：

控制端会将特定内容”Hello World”返回给被控制端。

1. 阶段3：

当建立连接成功后，被控制端会使用POST方法请求默认url：/en-us/index.html、/en-us/docs.html、/en-us/test.html其中之一，并将<