CADRE C2 ENDGAME

ENDGAME est un framework de commande et contrôle professionnel conçu pour les engagements de red team autorisés, les tests d'intrusion et la recherche en sécurité à des fins éducatives. Conçu pour simuler des techniques adverses réalistes, évaluer la couverture de détection et aider les équipes de sécurité à comprendre leurs lacunes défensives — avec une Console IA intégrée qui transforme le langage naturel en commandes exécutées et analyse automatiquement chaque résultat.

Hecho con IA, pensado y dirigido por un humano.

🌐 endgamec2framework.com  ·  📄 Documentation

Démarrage rapide

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

Relancez ./install.sh pour mettre à jour — il récupérera le dernier code et reconstruira tout en préservant les certificats et les profils d'opérateur.

Guide d'installation complet : Documentation → Installation

🤖 Console IA — Red Teaming en langage naturel

La Console IA d'ENDGAME est une fonctionnalité de premier plan qui intègre un copilote IA directement dans le flux de travail de l'opérateur. Ce n'est pas un chatbot ajouté en périphérie — il vit dans le même panneau que vos terminaux d'agents, connaît l'ensemble des commandes C2 et dispose d'un contexte en temps réel sur la cible : nom d'hôte, OS, utilisateur, privilèges et transport.

Comment ça fonctionne

1. Cliquez avec le bouton droit sur n'importe quel agent dans la table des agents → Ouvrir la Console IA
2. Un onglet 🤖 s'ouvre dans le panneau de console inférieur — côte à côte avec vos onglets de terminal habituels
3. Décrivez votre objectif en langage naturel (dans n'importe quelle langue)
4. L'IA suggère une ou plusieurs commandes C2, chacune enveloppée dans une carte d'exécution ▶ Ejecutar
5. Confirmez l'exécution — la tâche est envoyée au véritable agent
6. La sortie revient et l'IA analyse automatiquement le résultat et propose l'étape suivante

 
Gauche : menu contextuel · Droite : onglet Console IA ouvert dans le panneau de console (qwen3.6)

Commande exécutée sur un véritable agent mTLS · L'IA analyse la sortie et suggère la commande SHELL tasklist /v pour l'énumération des processus avec privilèges SYSTEM

Capacités clés

Modèles pris en charge (Ollama)

Tout modèle disponible dans votre instance Ollama fonctionne. Recommandés pour le contexte red team :

• qwen3.6:latest — par défaut · rapide · bonne exécution des instructions
• qwen3.6:35b-a3b-coding-mxfp8 — plus grand · meilleur raisonnement code/commande
• deepseek-r1:8b / deepseek-r1:32b — modèles de raisonnement · bons pour les chaînes d'attaque multi-étapes
• Tout modèle Anthropic Claude via l'API Claude

Contenu du framework

Capacités des agents

✓ = implémenté · 🔧 = en cours / planifié · — = non disponible

Prise en charge des plateformes

Compilation pour Linux (depuis un hôte Linux — les agents sont compilés nativement) :

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

Transports des agents : HTTP · HTTPS · mTLS · DNS · DoH · pipe SMB · TCP

Relais mesh : les agents peuvent s'enregistrer comme pivots HTTP ou TCP ; lorsqu'un agent perd la connectivité directe avec le teamserver (≥ 3 échecs de beacon consécutifs), il bascule automatiquement vers tout pair connu et relaie son beacon via le transport existant de cet agent. Le teamserver distribue la liste des pairs dans chaque réponse de beacon afin que les agents disposent toujours d'un repli à jour. Contrairement aux overlays P2P entièrement décentralisés (libp2p/DHT), les chemins de relais dans ENDGAME sont désignés par l'opérateur et journalisés — l'opérateur décide quel agent agit comme pivot, et la chaîne de relais est toujours explicite et arrêtable à la demande.

Évasion : AMSI (VEH/DR0) · aveuglement ETW · unhook NTDLL · masquage de sommeil Ekko XOR · appels système indirects (Hell's Gate) · spoofing de pile · hachage d'API (parcours PEB) · spoof PPID · anti-sandbox · effacement d'en-tête · DLL fantôme UDRL · BLOCKDLLS · détection de brûlage DNS canary

Injection : thread distant · APC early-bird · détournement de thread · fork-and-run · hollowing

Post-exploitation : capture d'écran · keylogger · presse-papiers · dump LSASS · vol de jeton · bypass UAC · persistance

Découverte réseau : ARP (renvoie MAC, sans élévation sur Windows) · balayage ping ICMP · sonde TCP — sélectionnable par scan

Mouvement latéral : psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK : 50+ commandes mappées sur 12 tactiques · export de couche Navigator · matrice de techniques dans l'interface

Consultez la documentation complète pour les commandes, la référence API, la liste des IOC et le guide de l'opérateur.

Notes d'architecture

ENDGAME implémente un relais mesh contrôlé plutôt qu'un overlay P2P entièrement décentralisé. Les chemins de relais sont désignés par l'opérateur : l'opérateur choisit quel agent agit comme pivot, et la chaîne de relais est explicite, arrêtable à la demande et journalisée — aucune dépendance à une infrastructure DHT publique comme libp2p que les pare-feu d'entreprise bloquent systématiquement.

Agents multiplateformes : Les quatre agents prennent désormais en charge Windows et Linux. L'agent Go prend également en charge macOS. Les fonctionnalités spécifiques à Windows (évasion Windows, patch AMSI/ETW, appels système Hell's Gate, spoofing de pile, vol de jeton, injection PE) sont exclusives à Windows et sont exclues de la compilation sur Linux ; la build Linux conserve l'intégralité du beacon, du shell, des opérations fichiers, du SOCKS5, du scan de ports, de la persistance, de la collecte d'identifiants et de la fonctionnalité de pivot. Consultez la matrice de prise en charge des plateformes ci-dessous pour le détail par fonctionnalité et le script build_linux.sh dans chaque répertoire d'agent pour la compilation Linux.

DNS canaries : chaque build de payload intègre un sous-domaine canary unique par build. Lorsqu'un sandbox ou un scanner antivirus analyse dynamiquement le binaire, la recherche DNS de démarrage de l'agent résout canary.<token>.<c2_domain> — interceptée par le serveur DNS faisant autorité du C2 — et l'opérateur reçoit une alerte de brûlage en temps réel via le flux d'événements. Les canaries sont suivis par build dans la base de données et ne sont jamais réutilisés.

Appels système indirects + spoofing de pile (Nim) : syscalls.nim résout les SSN à l'exécution via Hell's Gate (lit mov eax,SSN depuis les stubs ntdll) avec repli Halo's Gate pour les stubs patchés par l'EDR. Lorsqu'un gadget syscall;ret et un gadget call rel32;ret sont tous deux trouvés dans .text de ntdll, l'agent passe à des stubs falsifiés de 110 octets qui placent l'adresse du gadget à [RSP] avant l'appel système — rendant la pile d'appels visible par l'EDR comme provenant de ntdll plutôt que du code de l'agent.

Hachage d'API (C) : api_resolve.c utilise le hachage DJB2 et un parcours PEB InLoadOrderModuleList pour résoudre 33 fonctions WinAPI sensibles à l'exécution. Aucune de ces fonctions n'apparaît dans la table d'imports du binaire.

Captures d'écran

Vue graphique + Console IA — requête : « Qui sont les administrateurs du domaine ? » · la réponse identifie tywin.lannister, robert.baratheon, petyer.baelish, lord.varys dans SEVENKINGDOMS.LOCAL

🎯 Vecteur 1 : AutoLogon du registre (CRÍTICO) — La Console IA ancrée dans le panneau droit identifie des identifiants en clair stockés dans HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon après l'exécution de SharpUp. Aucun exploit requis.

Avis légal

Cet outil est destiné uniquement aux tests de sécurité autorisés, à un usage éducatif et aux environnements de laboratoire. Toute utilisation contre des systèmes sans autorisation écrite explicite est illégale et strictement interdite. En utilisant ce logiciel, vous acceptez la Politique d'utilisation éthique.

Veuillez ne pas ouvrir de tickets concernant la détection EDR/AV. Les builds par défaut incluent des IOC connus — consultez la documentation IOC. Les opérateurs doivent recompiler avec des certificats personnalisés, des indicateurs de build et des profils malléables pour les engagements autorisés.