ENDGAME C2 FRAMEWORK

ENDGAME es un framework profesional de comando y control construido para compromisos autorizados de red team, pruebas de penetración e investigación educativa en seguridad. Diseñado para simular técnicas realistas de adversarios, evaluar la cobertura de detección y ayudar a los equipos de seguridad a comprender sus brechas defensivas, con una Consola de IA integrada que convierte el lenguaje natural en comandos ejecutados y analiza automáticamente cada resultado.

Hecho con IA, pensado y dirigido por un humano.

🌐 endgamec2framework.com  ·  📄 Documentación

Inicio rápido

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

Vuelve a ejecutar ./install.sh para actualizar: obtendrá el código más reciente y recompilará conservando los certificados y los perfiles de operador.

Guía de configuración completa: Documentación → Instalación

🤖 Consola de IA — Red Teaming en Lenguaje Natural

La Consola de IA de ENDGAME es una funcionalidad de primera clase que integra un copiloto de IA directamente en el flujo de trabajo del operador. No es un chatbot añadido como complemento: vive en el mismo panel que tus terminales de agentes, conoce el conjunto completo de comandos C2 y dispone de contexto en tiempo real sobre el objetivo: hostname, SO, usuario, privilegios y transporte.

Cómo funciona

1. Haz clic derecho en cualquier agente de la tabla de Agentes → Abrir Consola de IA
2. Se abre una pestaña 🤖 en el panel inferior de la consola, junto a tus pestañas de terminal habituales.
3. Describe tu objetivo en lenguaje natural (en cualquier idioma)
4. La IA sugiere uno o más comandos C2, cada uno envuelto en una tarjeta de ejecución ▶ Ejecutar
5. Confirma la ejecución: la tarea se envía al agente real.
6. La salida regresa y la IA analiza automáticamente el resultado y propone el siguiente paso.

 
Izquierda: menú de clic derecho · Derecha: pestaña de Consola de IA abierta en el panel de consola (qwen3.6)

Comando ejecutado en un agente mTLS real · La IA analiza la salida y sugiere SHELL tasklist /v para la enumeración de procesos con privilegios SYSTEM

Capacidades clave

Modelos compatibles (Ollama)

Cualquier modelo disponible en tu instancia de Ollama funciona. Recomendados para contexto de red team:

• qwen3.6:latest — predeterminado · rápido · buen seguimiento de instrucciones
• qwen3.6:35b-a3b-coding-mxfp8 — más grande · mejor razonamiento de código/comandos
• deepseek-r1:8b / deepseek-r1:32b — modelos de razonamiento · buenos en cadenas de ataque de varios pasos
• Cualquier modelo de Anthropic Claude a través de la API de Claude

Qué incluye

Capacidades de los agentes

✓ = implementado · 🔧 = en progreso / planificado · — = no disponible

Soporte de plataformas

Compilación para Linux (desde un host Linux: los agentes se compilan de forma nativa):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

Transportes de los agentes: HTTP · HTTPS · mTLS · DNS · DoH · pipe SMB · TCP

Mesh relay: los agentes pueden registrarse como pivotes HTTP o TCP; cuando un agente pierde conectividad directa con el teamserver (≥ 3 fallos de beacon consecutivos), recurre automáticamente a cualquier peer conocido y retransmite su beacon a través del transporte existente de ese agente. El teamserver distribuye la lista de peers en cada respuesta de beacon para que los agentes siempre tengan un respaldo actualizado. A diferencia de las superposiciones P2P totalmente descentralizadas (libp2p/DHT), las rutas de relay en ENDGAME son designadas y registradas por el operador: el operador decide qué agente actúa como pivote, y la cadena de relay es siempre explícita y se puede detener bajo demanda.

Evasión: AMSI (VEH/DR0) · ETW blind · NTDLL unhook · Ekko XOR sleep masking · syscalls indirectas (Hell's Gate) · stack spoofing · API hashing (PEB walk) · PPID spoof · anti-sandbox · borrado de cabecera · UDRL phantom DLL · BLOCKDLLS · detección de quema de DNS canary

Inyección: hilo remoto · APC early-bird · secuestro de hilo · fork-and-run · hollowing

Post-explotación: captura de pantalla · keylogger · portapapeles · volcado de LSASS · robo de tokens · bypass de UAC · persistencia

Descubrimiento de red: ARP (devuelve MAC, sin elevación en Windows) · barrido de ping ICMP · sonda TCP, seleccionable por escaneo

Movimiento lateral: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: más de 50 comandos asignados a 12 tácticas · exportación de capa Navigator · matriz de técnicas en la GUI

Consulta la documentación completa para ver comandos, referencia de API, lista de IOC y guía del operador.

Notas de arquitectura

ENDGAME implementa mesh relay controlado en lugar de una superposición P2P totalmente descentralizada. Las rutas de relay son designadas por el operador: el operador elige qué agente actúa como pivote, y la cadena de relay es explícita, se puede detener bajo demanda y queda registrada, sin dependencia de infraestructuras DHT públicas como libp2p que los cortafuegos empresariales bloquean habitualmente.

Agentes multiplataforma: los cuatro agentes admiten ahora Windows y Linux. El agente Go admite además macOS. Las características específicas de plataforma (evasión en Windows, parcheo de AMSI/ETW, syscalls Hell's Gate, stack spoofing, robo de tokens, inyección de PE) son exclusivas de Windows y se compilan fuera en Linux; la compilación Linux conserva toda la funcionalidad de beacon, shell, operaciones de archivo, SOCKS5, escaneo de puertos, persistencia, recopilación de credenciales y pivote. Consulta la matriz de soporte de plataformas a continuación para ver el detalle por característica y el script build_linux.sh en cada directorio de agente para la compilación en Linux.

Canarios DNS: cada compilación de payload incorpora un subdominio canario único por compilación. Cuando un sandbox o escáner antivirus analiza dinámicamente el binario, la consulta DNS de inicio del agente resuelve canary.<token>.<c2_domain>, interceptada por el servidor DNS autoritativo del C2, y el operador recibe una alerta de quema en tiempo real a través del flujo de eventos. Los canarios se registran por compilación en la base de datos y nunca se reutilizan.

Syscalls indirectas + stack spoofing (Nim): syscalls.nim resuelve los SSN en tiempo de ejecución mediante Hell's Gate (lee mov eax,SSN de los stubs de ntdll) con respaldo de Halo's Gate para stubs parcheados por EDR. Cuando se encuentran tanto un gadget syscall;ret como un gadget call rel32;ret en la sección .text de ntdll, el agente pasa a stubs falsificados de 110 bytes que colocan la dirección del gadget en [RSP] antes de la syscall, haciendo que la pila de llamadas visible para el EDR parezca originarse dentro de ntdll en lugar de en el código del agente.

API hashing (C): api_resolve.c utiliza hashing DJB2 y un recorrido de la PEB InLoadOrderModuleList para resolver 33 funciones sensibles de WinAPI en tiempo de ejecución. Ninguna de estas funciones aparece en la tabla de importaciones del binario.

Capturas de pantalla

Vista de grafo + Consola de IA — consulta: «¿Quiénes son los administradores del dominio?» · la respuesta identifica a tywin.lannister, robert.baratheon, petyer.baelish y lord.varys en SEVENKINGDOMS.LOCAL

🎯 Vector 1: AutoLogon de registro (CRÍTICO) — la Consola de IA acoplada al panel derecho identifica credenciales en texto plano almacenadas en HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon tras ejecutar SharpUp. No se requiere exploit.

Aviso Legal

Esta herramienta es solo para pruebas de seguridad autorizadas, uso educativo y entornos de laboratorio. El uso contra sistemas sin autorización escrita explícita es ilegal y está estrictamente prohibido. Al usar este software aceptas la Política de uso ético.

Por favor, no abras issues sobre detección de EDR/AV. Las compilaciones predeterminadas incluyen IOC conocidos; consulta la documentación de IOC. Los operadores deben recompilar con certificados personalizados, flags de compilación y perfiles maleables para compromisos autorizados.