ENDGAME C2 FRAMEWORK

ENDGAME ist ein professionelles Command-and-Control-Framework, das für autorisierte Red-Team-Einsätze, Penetrationstests und pädagogische Sicherheitsforschung entwickelt wurde. Es wurde konzipiert, um realistische Gegnertechniken zu simulieren, die Erkennungsabdeckung zu bewerten und Sicherheitsteams zu helfen, ihre Verteidigungslücken zu verstehen – mit einer integrierten KI-Konsole, die natürliche Sprache in ausgeführte Befehle umwandelt und jedes Ergebnis automatisch analysiert.

Hecho con IA, pensado y dirigido por un humano.

🌐 endgamec2framework.com  ·  📄 Dokumentation

Schnellstart

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

Führen Sie ./install.sh erneut aus, um zu aktualisieren – es zieht den neuesten Code und baut neu, während Zertifikate und Operator-Profile erhalten bleiben.

Vollständige Setup-Anleitung: Dokumentation → Installation

🤖 KI-Konsole – Red Teaming in natürlicher Sprache

Die KI-Konsole von ENDGAME ist ein erstklassiges Feature, das einen KI-Co-Piloten direkt in den Operator-Workflow bringt. Es ist kein Chatbot, der am Rand angehängt ist – er lebt im selben Panel wie Ihre Agent-Terminals, kennt den vollständigen C2-Befehlssatz und hat Echtzeit-Kontext über das Ziel: Hostname, Betriebssystem, Benutzer, Privilegien und Transport.

So funktioniert es

1. Klicken Sie mit der rechten Maustaste auf einen Agenten in der Agenten-Tabelle → KI-Konsole öffnen
2. Ein 🤖-Tab öffnet sich im unteren Konsolenbereich – Seite an Seite mit Ihren regulären Terminal-Tabs
3. Beschreiben Sie Ihr Ziel in natürlicher Sprache (in jeder Sprache)
4. Die KI schlägt einen oder mehrere C2-Befehle vor, jeweils eingebettet in eine ▶ Ejecutar-Ausführungskarte
5. Bestätigen Sie die Ausführung – die Aufgabe wird an den echten Agenten gesendet
6. Die Ausgabe kommt zurück und die KI analysiert das Ergebnis automatisch und schlägt den nächsten Schritt vor

 
Links: Rechtsklick-Menü · Rechts: KI-Konsolen-Tab im Konsolenbereich geöffnet (qwen3.6)

Befehl auf einem echten mTLS-Agenten ausgeführt · KI analysiert die Ausgabe und schlägt SHELL tasklist /v für die Prozessaufzählung mit SYSTEM-Privilegien vor

Hauptfunktionen

Unterstützte Modelle (Ollama)

Jedes Modell, das in Ihrer Ollama-Instanz verfügbar ist, funktioniert. Empfohlen für Red-Team-Kontext:

• qwen3.6:latest – Standard · schnell · gute Befehlsbefolgung
• qwen3.6:35b-a3b-coding-mxfp8 – größer · stärkeres Code-/Befehlsverständnis
• deepseek-r1:8b / deepseek-r1:32b – Reasoning-Modelle · gut bei mehrstufigen Angriffsketten
• Jedes Anthropic-Claude-Modell über die Claude-API

Was enthalten ist

Agent-Fähigkeiten

✓ = implementiert · 🔧 = in Arbeit / geplant · — = nicht verfügbar

Plattformunterstützung

Build für Linux (von einem Linux-Host – Agenten werden nativ kompiliert):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

Agent-Transporte: HTTP · HTTPS · mTLS · DNS · DoH · SMB-Pipe · TCP

Mesh-Relay: Agenten können sich als HTTP- oder TCP-Pivots registrieren; wenn ein Agent die direkte Verbindung zum Teamserver verliert (≥ 3 aufeinanderfolgende Beacon-Fehler), fällt er automatisch auf einen bekannten Peer zurück und leitet sein Beacon über den vorhandenen Transport dieses Agenten weiter. Der Teamserver verteilt die Peer-Liste in jeder Beacon-Antwort, sodass Agenten immer einen aktuellen Fallback haben. Im Gegensatz zu vollständig dezentralisierten P2P-Overlays (libp2p/DHT) sind Relay-Pfade in ENDGAME operator-designiert und protokolliert – der Operator entscheidet, welcher Agent als Pivot fungiert, und die Relay-Kette ist immer explizit und auf Abruf stoppbar.

Evasion: AMSI (VEH/DR0) · ETW-Blind · NTDLL-Unhook · Ekko-XOR-Sleep-Masking · indirekte Syscalls (Hell's Gate) · Stack-Spoofing · API-Hashing (PEB-Walk) · PPID-Spoof · Anti-Sandbox · Header-Wipe · UDRL-Phantom-DLL · BLOCKDLLS · DNS-Canary-Burn-Erkennung

Injektion: Remote-Thread · APC-Early-Bird · Thread-Hijack · Fork-and-Run · Hollowing

Post-Ex: Screenshot · Keylogger · Zwischenablage · LSASS-Dump · Token-Diebstahl · UAC-Bypass · Persistenz

Netzwerk-Erkennung: ARP (gibt MAC zurück, keine Erhöhung unter Windows) · ICMP-Ping-Sweep · TCP-Probe – pro Scan auswählbar

Lateral Movement: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: 50+ Befehle über 12 Taktiken zugeordnet · Navigator-Layer-Export · Technik-Matrix in der GUI

Siehe die vollständige Dokumentation für Befehle, API-Referenz, IOC-Liste und Operator-Anleitung.

Architektur-Anmerkungen

ENDGAME implementiert kontrolliertes Mesh-Relay anstelle eines vollständig dezentralisierten P2P-Overlays. Relay-Pfade sind operator-designiert: Der Operator wählt, welcher Agent als Pivot fungiert, und die Relay-Kette ist explizit, auf Abruf stoppbar und protokolliert – keine Abhängigkeit von öffentlicher DHT-Infrastruktur wie libp2p, die von Unternehmens-Firewalls routinemäßig blockiert wird.

Plattformübergreifende Agenten: Alle vier Agenten unterstützen jetzt Windows und Linux. Der Go-Agent unterstützt zusätzlich macOS. Plattformspezifische Funktionen (Windows-Evasion, AMSI/ETW-Patching, Hell's-Gate-Syscalls, Stack-Spoofing, Token-Diebstahl, PE-Injektion) sind nur für Windows und werden unter Linux ausgeklammert; der Linux-Build behält das vollständige Beacon, Shell, Dateioperationen, SOCKS5, Port-Scan, Persistenz, Anmeldedaten-Sammlung und Pivot-Funktionalität. Siehe die Plattformunterstützungs-Matrix unten für Details pro Funktion und das build_linux.sh-Skript in jedem Agent-Verzeichnis für die Linux-Kompilierung.

DNS-Canaries: Jeder Payload-Build bettet eine einzigartige, pro-Build-Canary-Subdomain ein. Wenn eine Sandbox oder ein AV-Scanner die Binary dynamisch analysiert, löst der DNS-Lookup des Agenten beim Start canary.<token>.<c2_domain> auf – abgefangen vom autoritativen DNS-Server des C2 – und der Operator erhält eine Burn-Alert in Echtzeit über den Ereignisstream. Canaries werden pro Build in der Datenbank verfolgt und nie wiederverwendet.

Indirekte Syscalls + Stack-Spoofing (Nim): syscalls.nim löst SSNs zur Laufzeit über Hell's Gate auf (liest mov eax,SSN aus ntdll-Stubs) mit Halo's-Gate-Fallback für EDR-gepatchte Stubs. Wenn sowohl ein syscall;ret-Gadget als auch ein call rel32;ret-Gadget im ntdll-.text gefunden werden, aktualisiert der Agent auf 110-Byte-Spoofed-Stubs, die die Gadget-Adresse vor dem Syscall bei [RSP] platzieren – wodurch der für EDR sichtbare Call-Stack so aussieht, als stamme er aus ntdll und nicht aus Agent-Code.

API-Hashing (C): api_resolve.c verwendet DJB2-Hashing und einen PEB-InLoadOrderModuleList-Walk, um 33 sensible WinAPI-Funktionen zur Laufzeit aufzulösen. Keine dieser Funktionen erscheint in der Importtabelle der Binary.

Screenshots

Graph-Ansicht + KI-Konsole – Abfrage: „Wer sind die Domänenadministratoren?" · Antwort identifiziert tywin.lannister, robert.baratheon, petyer.baelish, lord.varys in SEVENKINGDOMS.LOCAL

🎯 Vektor 1: Registry AutoLogon (KRITISCH) – KI-Konsole im rechten Panel angedockt, identifiziert Klartext-Anmeldedaten, die in HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon gespeichert sind, nach Ausführung von SharpUp. Kein Exploit erforderlich.

Rechtlicher Hinweis

Dieses Tool ist nur für autorisierte Sicherheitstests, Bildungszwecke und Laborumgebungen bestimmt. Die Verwendung gegen Systeme ohne ausdrückliche schriftliche Autorisierung ist illegal und strengstens untersagt. Durch die Nutzung dieser Software stimmen Sie der Richtlinie zur ethischen Nutzung zu.

Bitte eröffnen Sie keine Issues bezüglich EDR/AV-Erkennung. Standard-Builds enthalten bekannte IOCs – siehe IOC-Dokumentation. Operatoren sollten für autorisierte Einsätze mit benutzerdefinierten Zertifikaten, Build-Flags und formbaren Profilen neu kompilieren.