إطار عمل القيادة والتحكم ENDGAME

ENDGAME هو إطار عمل احترافي للقيادة والتحكم، مصمم لمهام الفريق الأحمر المصرح بها، واختبار الاختراق، والبحث الأمني التعليمي. تم تصميمه لمحاكاة تقنيات الخصم الواقعية، وتقييم تغطية الكشف، ومساعدة فرق الأمن على فهم فجواتهم الدفاعية — مع وحدة تحكم ذكاء اصطناعي مدمجة تحوِّل اللغة الطبيعية إلى أوامر منفذة وتحلل كل نتيجة تلقائيًا.

مصنوع بالذكاء الاصطناعي، مدروس وموجه من قبل إنسان.

🌐 endgamec2framework.com  ·  📄 الوثائق

بدء سريع

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

أعد تشغيل ./install.sh للتحديث — سيسحب أحدث الكود ويعيد البناء مع الاحتفاظ بالشهادات وملفات تعريف المشغلين.

دليل التثبيت الكامل: الوثائق → التثبيت

🤖 وحدة تحكم الذكاء الاصطناعي — اختبار الفريق الأحمر باللغة الطبيعية

تعتبر وحدة تحكم الذكاء الاصطناعي في ENDGAME ميزة من الدرجة الأولى تجلب مساعد ذكاء اصطناعي مباشرة إلى سير عمل المشغل. ليست مجرد روبوت محادثة جانبي — بل تعيش في نفس لوحة محطات الوكيل، وتعرف مجموعة أوامر C2 الكاملة، ولديها سياق فوري حول الهدف: اسم المضيف، نظام التشغيل، المستخدم، الامتيازات، وطريقة النقل.

كيف تعمل

1. انقر بزر الماوس الأيمن على أي وكيل في جدول الوكلاء ← افتح وحدة تحكم الذكاء الاصطناعي
2. تظهر علامة تبويب 🤖 في لوحة وحدة التحكم السفلية — جنبًا إلى جنب مع علامات التبويب الطرفية العادية
3. صِف هدفك باللغة الطبيعية (بأي لغة)
4. يقترح الذكاء الاصطناعي أمرًا أو أكثر من أوامر C2، كل منها مغلف في بطاقة ▶ Ejecutar للتنفيذ
5. أكد التنفيذ — يتم إرسال المهمة إلى الوكيل الحقيقي
6. يعود الإخراج ويقوم الذكاء الاصطناعي بتحليل النتيجة تلقائيًا ويقترح الخطوة التالية

 
يسار: قائمة النقر بزر الماوس الأيمن · يمين: علامة تبويب وحدة تحكم الذكاء الاصطناعي مفتوحة في لوحة التحكم (qwen3.6)

تم تنفيذ الأمر على وكيل mTLS حقيقي · الذكاء الاصطناعي يحلل الإخراج ويقترح أمر SHELL tasklist /v لتعداد العمليات بامتياز SYSTEM

الإمكانيات الرئيسية

النماذج المدعومة (Ollama)

أي نموذج متاح في مثيل Ollama الخاص بك يعمل. الموصى بها لسياق الفريق الأحمر:

• qwen3.6:latest — الافتراضي · سريع · اتباع جيد للتعليمات
• qwen3.6:35b-a3b-coding-mxfp8 — أكبر · استدلال أقوى على الأوامر/الكود
• deepseek-r1:8b / deepseek-r1:32b — نماذج استدلال · جيدة في سلاسل الهجوم متعددة الخطوات
• أي نموذج Anthropic Claude عبر Claude API

ما بالداخل

إمكانيات الوكيل

✓ = منفذ · 🔧 = قيد التطوير / مخطط له · — = غير متاح

دعم المنصات

بناء لينكس (من مضيف لينكس — يتم تجميع الوكلاء محليًا):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

طرق نقل الوكيل: HTTP · HTTPS · mTLS · DNS · DoH · أنبوب SMB · TCP

محور الترحيل الشبكي: يمكن للوكلاء التسجيل كمحاور HTTP أو TCP؛ عندما يفقد الوكيل الاتصال المباشر بخادم الفريق (≥ 3 إخفاقات متتالية للمنارة)، يعود تلقائيًا إلى أي نظير معروف ويعيد توجيه منارته عبر طريقة النقل الحالية لذلك الوكيل. يوزع خادم الفريق قائمة النظير في كل استجابة منارة ليبقى الوكلاء على اطلاع دائم بالنسخ الاحتياطي. على عكس طبقات الند للند اللامركزية بالكامل (libp2p/DHT)، فإن مسارات الترحيل في ENDGAME يحددها المشغل ويتم تسجيلها — يقرر المشغل أي وكيل يعمل كمحور، وسلسلة الترحيل دائمًا واضحة وقابلة للإيقاف عند الطلب.

التهرب: AMSI (VEH/DR0) · تعمية ETW · إلغاء ربط NTDLL · إخفاء النوم Ekko XOR · استدعاءات نظام غير مباشرة (Hell's Gate) · تزوير المكدس · تجزئة API (سير PEB) · تزوير PPID · مكافحة الصندوق الرملي · مسح الرأس · DLL شبحية UDRL · BLOCKDLLS · كشف حرق DNS canary

الحقن: سلوك عن بعد · APC مبكر · اختطاف سلوك · fork-and-run · تجويف

ما بعد الاستغلال: لقطة شاشة · مسجل لوحة مفاتيح · الحافظة · تفريغ LSASS · سرقة الرمز المميز · تجاوز UAC · استمرارية

اكتشاف الشبكة: ARP (يعيد MAC، لا يتطلب رفع صلاحية على ويندوز) · فحص ping ICMP · فحص TCP — قابل للاختيار لكل مسح

الحركة الجانبية: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: أكثر من 50 أمرًا عبر 12 تكتيكًا · تصدير طبقة Navigator · مصفوفة التقنيات في الواجهة الرسومية

راجع الوثائق الكاملة للأوامر ومرجع API وقائمة IOCs ودليل المشغل.

ملاحظات معمارية

ينفذ ENDGAME الترحيل الشبكي المتحكم به بدلاً من طبقة الند للند اللامركزية بالكامل. مسارات الترحيل يحددها المشغل: يختار المشغل أي وكيل يعمل كمحور، وسلسلة الترحيل واضحة وقابلة للإيقاف عند الطلب ويتم تسجيلها — لا اعتماد على بنية تحتية عامة لـ DHT مثل libp2p التي تحجبها جدران الحماية المؤسسية بشكل روتيني.

وكلاء عبر المنصات: تدعم جميع الوكلاء الأربعة الآن ويندوز ولينكس. يدعم وكيل Go أيضًا ماك. الميزات الخاصة بالمنصة (تهرب ويندوز، تصحيح AMSI/ETW، استدعاءات Hell's Gate، تزوير المكدس، سرقة الرمز المميز، حقن PE) خاصة بويندوز ويتم تجميعها خارجيًا على لينكس؛ يحتفظ بناء لينكس بوظائف المنارة الكاملة والشل وعمليات الملفات وSOCKS5 وفحص المنفذ والاستمرارية وجمع بيانات الاعتماد والمحور. انظر مصفوفة دعم المنصات أدناه لتفاصيل الميزات وبرنامج build_linux.sh في دليل كل وكيل لتجميع لينكس.

DNS canaries: يضم كل بناء حمولة نطاقًا فرعيًا فريدًا للحرق لكل بناء. عندما يحلل الصندوق الرملي أو ماسح مكافحة الفيروسات الثنائي بشكل حيوي، يقوم بحث DNS عند بدء تشغيل الوكيل بحل canary.<token>.<c2_domain> — يتم اعتراضه بواسطة خادم DNS الموثوق لـ C2 — ويتلقى المشغل تنبيه حرق فوري عبر تدفق الأحداث. يتم تتبع الكناري لكل بناء في قاعدة البيانات ولا يعاد استخدامها أبدًا.

استدعاءات نظام غير مباشرة + تزوير المكدس (Nim): يحل syscalls.nim أرقام SSNs في وقت التشغيل عبر Hell's Gate (يقرأ mov eax,SSN من مكدسات ntdll) مع النسخ الاحتياطي Halo's Gate للمكدسات المصححة من EDR. عند العثور على كل من أداة syscall;ret وأداة call rel32;ret في .text لـ ntdll، يقوم الوكيل بالترقية إلى مكدسات مزيفة بحجم 110 بايت تزرع عنوان الأداة في [RSP] قبل استدعاء النظام — مما يجعل المكدس المرئي لـ EDR يبدو وكأنه نشأ من داخل ntdll وليس من كود الوكيل.

تجزئة API (C): يستخدم api_resolve.c تجزئة DJB2 وسير قائمة InLoadOrderModuleList من PEB لحل 33 دالة WinAPI حساسة في وقت التشغيل. لا تظهر أي من هذه الدوال في جدول استيراد الثنائي.

لقطات الشاشة

عرض الرسم البياني + وحدة تحكم الذكاء الاصطناعي — الاستعلام: "من هم مسؤولو المجال؟" · الرد يحدد tywin.lannister، robert.baratheon، petyer.baelish، lord.varys في SEVENKINGDOMS.LOCAL

🎯 المتجه 1: تسجيل الدخول التلقائي للسجل (CRÍTICO) — وحدة تحكم الذكاء الاصطناعي المرساة في اللوحة اليمنى تحدد بيانات اعتماد نصية واضحة مخزنة في HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon بعد تشغيل SharpUp. لا حاجة لاستغلال.

إشعار قانوني

هذه الأداة مخصصة لاختبار الأمان المصرح به والاستخدام التعليمي وبيئات المختبرات فقط. الاستخدام ضد أنظمة دون إذن كتابي صريح غير قانوني وممنوع منعًا باتًا. باستخدام هذا البرنامج، فإنك توافق على سياسة الاستخدام الأخلاقي.

يرجى عدم فتح مشكلات تتعلق بكشف EDR/AV. تتضمن البنيات الافتراضية IOCs معروفة — راجع وثائق IOC. يجب على المشغلين إعادة التجميع بشهادات مخصصة وعلامات بناء وملفات تعريف قابلة للتشكيل للمهام المصرح بها.