# Covenant > Tipo: **tool** · S1155 · [MITRE ATT&CK](https://attack.mitre.org/software/S1155) ## Descrição [[s1155-covenant|Covenant]] é um framework de comando e controle (C2) multiplataforma escrito em .NET, disponível públicamente no GitHub. A ferramenta foi desenvolvida para uso em red team e testes de penetração, oferecendo uma interface web para gerenciar operações ofensivas, criar listeners HTTP/HTTPS, gerar e gerenciar implants ("Grunts") e executar tarefas de pós-exploração. Pesquisadores de segurança e red teams legítimos utilizam Covenant para simular TTPs adversariais em avaliações de segurança de clientes. Em contextos maliciosos, o [[g0125-silk-typhoon|HAFNIUM]] utilizou Covenant em sua campanha de exploração de Exchange Server (ProxyLogon), aproveitando sua capacidade de C2 sobre HTTP/HTTPS e execução de comandos via WMI e PowerShell. A natureza open-source e a documentação detalhada do Covenant tornam-no acessível a atores de ameaça menos sofisticados. Seu uso de comunicação assimétrica criptografada ([[t1573-002-asymmetric-cryptography|T1573.002]]) e portas não-padrão ([[t1571-non-standard-port|T1571]]) dificulta a detecção por inspeção de tráfego básica. **Plataformas:** Linux, macOS, Windows ## Técnicas Utilizadas - [[t1059-001-powershell|T1059.001 - PowerShell]] - [[t1571-non-standard-port|T1571 - Non-Standard Port]] - [[t1047-windows-management-instrumentation|T1047 - Windows Management Instrumentation]] - [[t1218-010-regsvr32|T1218.010 - Regsvr32]] - [[t1218-004-installutil|T1218.004 - InstallUtil]] - [[t1082-system-information-discovery|T1082 - System Information Discovery]] - [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]] - [[t1071-001-web-protocols|T1071.001 - Web Protocols]] - [[t1218-005-mshta|T1218.005 - Mshta]] - [[t1573-002-asymmetric-cryptography|T1573.002 - Asymmetric Cryptography]] ## Grupos que Usam - [[g0125-silk-typhoon|HAFNIUM]] ## Relevância LATAM/Brasil O [[g0125-silk-typhoon|HAFNIUM]], vinculado à exploração massiva de Exchange Server via ProxyLogon/ProxyShell, teve impacto significativo em organizações brasileiras: estima-se que centenas de Exchange servers no Brasil foram comprometidos durante as campanhas de 2021-2022. O uso de Covenant por HAFNIUM como framework C2 pós-exploração dessas instâncias Exchange comprometidas significa que organizações brasileiras que não realizaram investigação forense completa à época podem ainda ter Grunts Covenant persistentes em seus ambientes. ## Detecção **Fontes de dados recomendadas:** - **Sysmon Event ID 1 (ProcessCreaté):** Grunts Covenant executam via `InstallUtil.exe`, `Regsvr32.exe`, e `Mshta.exe` como LOLBins de execução - monitorar esses processos com argumentos incomuns - **Sysmon Event ID 3 (NetworkConnect):** Beaconing periódico do Grunt para o listener Covenant via HTTPS - identificar por certificados TLS auto-assinados e padrões de jitter - **Windows Event ID 4104 (PowerShell Script Block Logging):** Comandos PowerShell base64-encoded gerados pelo Grunt durante execução de tarefas - **Windows Event ID 7045 (Service Installed):** Instalação de serviço por Covenant durante persistência via `InstallUtil` **Regras de detecção:** - Sigma: `proc_creation_win_hktl_covenant_grunt.yml` - indicadores de execução de Grunt Covenant via LOLBins (SigmaHQ) - Sigma: `net_connection_win_covenant_c2.yml` - padrões de rede do C2 Covenant - Elastic: `command_and_control_framework_activity` - detecção de frameworks C2 conhecidos incluindo Covenant ## Referências Adicionais - [MITRE ATT&CK - S1155](https://attack.mitre.org/software/S1155) - [GitHub - cobbr/Covenant](https://github.com/cobbr/Covenant) - repositório oficial - [SigmaHQ - Covenant C2 Detection](https://github.com/SigmaHQ/sigma) - 2024