ENDGAME C2 FRAMEWORK

ENDGAME एक पेशेवर कमांड और कंट्रोल फ्रेमवर्क है जो अधिकृत रेड टीम अभियानों, पेनेट्रेशन टेस्टिंग और शैक्षिक सुरक्षा अनुसंधान के लिए बनाया गया है। यह यथार्थवादी विरोधी तकनीकों का अनुकरण करने, डिटेक्शन कवरेज का आकलन करने और सुरक्षा टीमों को उनकी रक्षात्मक कमियों को समझने में मदद करने के लिए डिज़ाइन किया गया है — जिसमें एक अंतर्निर्मित AI कंसोल है जो प्राकृतिक भाषा को निष्पादित कमांड में बदल देता है और स्वचालित रूप से हर परिणाम का विश्लेषण करता है।

AI के साथ निर्मित, एक इंसान द्वारा सोचा और निर्देशित।

🌐 endgamec2framework.com  ·  📄 दस्तावेज़ीकरण

त्वरित प्रारंभ

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

अपडेट करने के लिए ./install.sh दोबारा चलाएँ — यह नवीनतम कोड खींचेगा और प्रमाणपत्रों तथा ऑपरेटर प्रोफाइलों को संरक्षित करते हुए पुनर्निर्माण करेगा।

पूर्ण सेटअप गाइड: दस्तावेज़ीकरण → इंस्टॉलेशन

🤖 AI कंसोल — प्राकृतिक भाषा रेड टीमिंग

ENDGAME का AI कंसोल एक प्रथम श्रेणी की सुविधा है जो AI सह-पायलट को सीधे ऑपरेटर वर्कफ़्लो में लाता है। यह किनारे पर जोड़ा गया कोई चैटबॉट नहीं है — यह आपके एजेंट टर्मिनलों के समान पैनल में रहता है, पूर्ण C2 कमांड सेट जानता है, और लक्ष्य के बारे में रीयल-टाइम संदर्भ रखता है: होस्टनाम, OS, उपयोगकर्ता, विशेषाधिकार और ट्रांसपोर्ट।

यह कैसे काम करता है

1. एजेंट तालिका में किसी भी एजेंट पर राइट-क्लिक करें → AI कंसोल खोलें
2. 🤖 टैब नीचे के कंसोल पैन में खुलता है — आपके नियमित टर्मिनल टैब्स के साथ-साथ
3. अपने उद्देश्य का वर्णन करें प्राकृतिक भाषा में (किसी भी भाषा में)
4. AI एक या अधिक C2 कमांड सुझाता है, प्रत्येक ▶ Ejecutar निष्पादन कार्ड में लिपटा होता है
5. निष्पादन की पुष्टि करें — कार्य वास्तविक एजेंट को भेज दिया जाता है
6. आउटपुट वापस आता है और AI स्वचालित रूप से परिणाम का विश्लेषण करता है तथा अगला कदम प्रस्तावित करता है

 
बाएँ: राइट-क्लिक मेनू · दाएँ: कंसोल पैन में खुला AI कंसोल टैब (qwen3.6)

वास्तविक mTLS एजेंट पर निष्पादित कमांड · AI आउटपुट का विश्लेषण करता है और SYSTEM-विशेषाधिकार प्रक्रिया गणना के लिए SHELL tasklist /v सुझाता है

प्रमुख क्षमताएँ

समर्थित मॉडल (Ollama)

आपके Ollama इंस्टेंस में उपलब्ध कोई भी मॉडल काम करता है। रेड टीम संदर्भ के लिए अनुशंसित:

• qwen3.6:latest — डिफ़ॉल्ट · तेज़ · अच्छा निर्देश-पालन
• qwen3.6:35b-a3b-coding-mxfp8 — बड़ा · मज़बूत कोड/कमांड तर्क
• deepseek-r1:8b / deepseek-r1:32b — तर्क मॉडल · बहु-चरणीय आक्रमण श्रृंखलाओं में अच्छे
• Claude API के माध्यम से कोई भी Anthropic Claude मॉडल

अंदर क्या है

एजेंट क्षमताएँ

✓ = लागू · 🔧 = प्रगति पर / नियोजित · — = उपलब्ध नहीं

प्लेटफ़ॉर्म समर्थन

Linux के लिए बिल्डिंग (Linux होस्ट से — एजेंट मूल रूप से संकलित किए जाते हैं):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

एजेंट ट्रांसपोर्ट: HTTP · HTTPS · mTLS · DNS · DoH · SMB pipe · TCP

मेश रिले: एजेंट HTTP या TCP पिवट के रूप में पंजीकृत हो सकते हैं; जब कोई एजेंट टीमसर्वर से सीधी कनेक्टिविटी खो देता है (≥ 3 लगातार बीकन विफलताएँ), तो यह स्वचालित रूप से किसी ज्ञात पीयर पर वापस आ जाता है और अपने बीकन को उस एजेंट के मौजूदा ट्रांसपोर्ट के माध्यम से रिले करता है। टीमसर्वर हर बीकन प्रतिक्रिया में पीयर सूची वितरित करता है ताकि एजेंटों के पास हमेशा वर्तमान फ़ॉलबैक रहे। पूरी तरह से विकेंद्रीकृत P2P ओवरले (libp2p/DHT) के विपरीत, ENDGAME में रिले पथ ऑपरेटर-निर्दिष्ट और लॉग किए जाते हैं — ऑपरेटर तय करता है कि कौन सा एजेंट पिवट के रूप में कार्य करता है, और रिले श्रृंखला हमेशा स्पष्ट और मांग पर रोकने योग्य होती है।

एवेज़न: AMSI (VEH/DR0) · ETW ब्लाइंड · NTDLL अनहुक · Ekko XOR स्लीप मास्किंग · अप्रत्यक्ष syscalls (Hell's Gate) · स्टैक स्पूफिंग · API हैशिंग (PEB walk) · PPID स्पूफ · एंटी-सैंडबॉक्स · हेडर वाइप · UDRL फैंटम DLL · BLOCKDLLS · DNS कैनरी बर्न डिटेक्शन

इंजेक्शन: रिमोट थ्रेड · APC अर्ली-बर्ड · थ्रेड हाईजैक · fork-and-run · हॉलोइंग

पोस्ट-एक्स: स्क्रीनशॉट · कीलॉगर · क्लिपबोर्ड · LSASS डंप · टोकन चोरी · UAC बायपास · पर्सिस्टेंस

नेटवर्क डिस्कवरी: ARP (MAC लौटाता है, Windows पर कोई एलिवेशन नहीं) · ICMP पिंग स्वीप · TCP प्रोब — प्रति स्कैन चयन योग्य

पार्श्व गति: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: 12 रणनीतियों में मैप किए गए 50+ कमांड · Navigator लेयर एक्सपोर्ट · GUI में तकनीक मैट्रिक्स

कमांड, API संदर्भ, IOC सूची और ऑपरेटर गाइड के लिए पूर्ण दस्तावेज़ीकरण देखें।

आर्किटेक्चर नोट्स

ENDGAME पूरी तरह से विकेंद्रीकृत P2P ओवरले के बजाय नियंत्रित मेश रिले लागू करता है। रिले पथ ऑपरेटर-निर्दिष्ट होते हैं: ऑपरेटर चुनता है कि कौन सा एजेंट पिवट के रूप में कार्य करता है, और रिले श्रृंखला स्पष्ट, मांग पर रोकने योग्य और लॉग की जाती है — libp2p जैसे सार्वजनिक DHT इंफ्रास्ट्रक्चर पर कोई निर्भरता नहीं जिसे एंटरप्राइज़ फ़ायरवॉल आमतौर पर ब्लॉक करते हैं।

क्रॉस-प्लेटफ़ॉर्म एजेंट: चारों एजेंट अब Windows और Linux का समर्थन करते हैं। Go एजेंट अतिरिक्त रूप से macOS का समर्थन करता है। प्लेटफ़ॉर्म-विशिष्ट सुविधाएँ (Windows एवेज़न, AMSI/ETW पैचिंग, Hell's Gate syscalls, स्टैक स्पूफिंग, टोकन चोरी, PE इंजेक्शन) केवल-Windows हैं और Linux पर संकलित नहीं की जातीं; Linux बिल्ड पूर्ण बीकन, शेल, फ़ाइल ऑप, SOCKS5, पोर्ट स्कैन, पर्सिस्टेंस, क्रेडेंशियल हार्वेस्टिंग और पिवट कार्यक्षमता बनाए रखता है। प्रति-सुविधा विवरण के लिए नीचे प्लेटफ़ॉर्म समर्थन मैट्रिक्स और Linux संकलन के लिए प्रत्येक एजेंट निर्देशिका में build_linux.sh स्क्रिप्ट देखें।

DNS कैनरीज़: प्रत्येक पेलोड बिल्ड एक अद्वितीय प्रति-बिल्ड कैनरी सबडोमेन एम्बेड करता है। जब कोई सैंडबॉक्स या AV स्कैनर बाइनरी का गतिशील विश्लेषण करता है, तो एजेंट का स्टार्टअप DNS लुकअप canary.<token>.<c2_domain> को हल करता है — C2 के अधिकारिक DNS सर्वर द्वारा इंटरसेप्ट किया जाता है — और ऑपरेटर को इवेंट्स स्ट्रीम के माध्यम से रीयल-टाइम बर्न अलर्ट मिलता है। कैनरीज़ डेटाबेस में प्रति-बिल्ड ट्रैक की जाती हैं और कभी पुनः उपयोग नहीं की जातीं।

अप्रत्यक्ष syscalls + स्टैक स्पूफिंग (Nim): syscalls.nim Hell's Gate के माध्यम से रनटाइम पर SSN हल करता है (ntdll स्टब्स से mov eax,SSN पढ़ता है) जिसमें EDR-पैच्ड स्टब्स के लिए Halo's Gate फ़ॉलबैक होता है। जब ntdll .text में syscall;ret गैजेट और call rel32;ret गैजेट दोनों पाए जाते हैं, तो एजेंट 110-byte स्पूफ्ड स्टब्स में अपग्रेड हो जाता है जो syscall से पहले [RSP] पर गैजेट पता स्थापित करते हैं — जिससे EDR को दिखाई देने वाला कॉल-स्टैक एजेंट कोड के बजाय ntdll के भीतर से उत्पन्न होता हुआ प्रतीत होता है।

API हैशिंग (C): api_resolve.c रनटाइम पर 33 संवेदनशील WinAPI फ़ंक्शन हल करने के लिए DJB2 हैशिंग और PEB InLoadOrderModuleList वॉक का उपयोग करता है। इनमें से कोई भी फ़ंक्शन बाइनरी की इम्पोर्ट टेबल में दिखाई नहीं देता।

स्क्रीनशॉट

ग्राफ़ व्यू + AI कंसोल — क्वेरी: "डोमेन एडमिनिस्ट्रेटर कौन हैं?" · प्रतिक्रिया SEVENKINGDOMS.LOCAL में tywin.lannister, robert.baratheon, petyer.baelish, lord.varys की पहचान करती है

🎯 वेक्टर 1: रजिस्ट्री AutoLogon (CRÍTICO) — दाएँ पैनल में डॉक किया गया AI कंसोल SharpUp चलाने के बाद HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon में संग्रहीत प्लेनटेक्स्ट क्रेडेंशियल्स की पहचान करता है। किसी एक्सप्लॉइट की आवश्यकता नहीं।

कानूनी सूचना

यह टूल केवल अधिकृत सुरक्षा परीक्षण, शैक्षिक उपयोग और प्रयोगशाला वातावरण के लिए है। स्पष्ट लिखित प्राधिकरण के बिना सिस्टम के विरुद्ध उपयोग अवैध और सख्त रूप से निषिद्ध है। इस सॉफ़्टवेयर का उपयोग करके आप नैतिक उपयोग नीति से सहमत होते हैं।

कृपया EDR/AV डिटेक्शन के संबंध में issues न खोलें। डिफ़ॉल्ट बिल्ड में ज्ञात IOC शामिल होते हैं — IOC दस्तावेज़ीकरण देखें। ऑपरेटरों को अधिकृत अभियानों के लिए कस्टम प्रमाणपत्र, बिल्ड फ़्लैग और मेलेबल प्रोफाइल के साथ पुनर्संकलन करना चाहिए।