ENDGAME C2 FRAMEWORK

ENDGAME è un framework professionale di comando e controllo costruito per impegni di red team autorizzati, test di penetrazione e ricerca sulla sicurezza educativa. Progettato per simulare tecniche avversarie realistiche, valutare la copertura di rilevamento e aiutare i team di sicurezza a comprendere le loro lacune difensive — con una Console AI integrata che trasforma il linguaggio naturale in comandi eseguiti e analizza automaticamente ogni risultato.

Hecho con IA, pensado y dirigido por un humano.

🌐 endgamec2framework.com  ·  📄 Documentazione

Avvio Rapido

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

Esegui di nuovo ./install.sh per aggiornare — scaricherà l'ultimo codice e ricostruirà preservando certificati e profili operator.

Guida completa all'installazione: Documentazione → Installazione

🤖 Console AI — Red Teaming in Linguaggio Naturale

La Console AI di ENDGAME è una funzionalità di prim'ordine che porta un co-pilota AI direttamente nel flusso di lavoro dell'operatore. Non è un chatbot aggiunto lateralmente — vive nello stesso pannello dei terminali degli agenti, conosce l'intero set di comandi C2 e ha un contesto in tempo reale sull'obiettivo: hostname, OS, utente, privilegi e trasporto.

Come funziona

1. Fai clic destro su qualsiasi agente nella tabella Agenti → Apri Console AI
2. Si apre un tab 🤖 nel pannello della console inferiore — affiancato ai tuoi normali tab terminali
3. Descrivi il tuo obiettivo in linguaggio naturale (in qualsiasi lingua)
4. L'AI suggerisce uno o più comandi C2, ciascuno racchiuso in una scheda di esecuzione ▶ Esegui
5. Conferma l'esecuzione — il compito viene inviato all'agente reale
6. Il risultato torna indietro e l'AI analizza automaticamente il risultato e propone il passo successivo

 
Sinistra: menu contestuale · Destra: tab Console AI aperto nel pannello console (qwen3.6)

Comando eseguito su un agente mTLS reale · L'AI analizza l'output e suggerisce SHELL tasklist /v per l'enumerazione dei processi con privilegi SYSTEM

Capacità chiave

Modelli supportati (Ollama)

Qualsiasi modello disponibile nella tua istanza Ollama funziona. Raccomandati per contesto red team:

• qwen3.6:latest — predefinito · veloce · buona aderenza alle istruzioni
• qwen3.6:35b-a3b-coding-mxfp8 — più grande · ragionamento su codice/comandi più forte
• deepseek-r1:8b / deepseek-r1:32b — modelli di ragionamento · buoni per catene di attacco multi-step
• Qualsiasi modello Anthropic Claude tramite Claude API

Cosa contiene

Capacità degli agenti

✓ = implementato · 🔧 = in corso / pianificato · — = non disponibile

Supporto piattaforma

Compilazione per Linux (da un host Linux — gli agenti vengono compilati nativamente):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

Trasporti agenti: HTTP · HTTPS · mTLS · DNS · DoH · pipe SMB · TCP

Mesh relay: gli agenti possono registrarsi come pivot HTTP o TCP; quando un agente perde la connettività diretta con il teamserver (≥ 3 fallimenti consecutivi del beacon), torna automaticamente a qualsiasi peer conosciuto e inoltra il suo beacon attraverso il trasporto esistente di quell'agente. Il teamserver distribuisce la lista dei peer in ogni risposta beacon in modo che gli agenti abbiano sempre un fallback attuale. A differenza delle overlay P2P completamente decentralizzate (libp2p/DHT), i percorsi relay in ENDGAME sono designati dall'operatore e registrati — l'operatore decide quale agente agisce da pivot, e la catena relay è sempre esplicita e arrestabile su richiesta.

Evasione: AMSI (VEH/DR0) · ETW blind · NTDLL unhook · Ekko XOR sleep masking · syscall indirette (Hell's Gate) · stack spoofing · hashing API (PEB walk) · spoof PPID · anti-sandbox · eliminazione header · UDRL phantom DLL · BLOCKDLLS · rilevamento bruciatura canary DNS

Iniezione: thread remoto · APC early-bird · hijack thread · fork-and-run · hollowing

Post-esecuzione: screenshot · keylogger · appunti · dump LSASS · furto token · bypass UAC · persistenza

Scoperta rete: ARP (restituisce MAC, nessuna elevazione su Windows) · sweep ICMP ping · probe TCP — selezionabile per scansione

Movimento laterale: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: oltre 50 comandi mappati in 12 tattiche · esportazione layer Navigator · matrice di tecniche nell'interfaccia GUI

Consulta la documentazione completa per comandi, riferimento API, lista IOC e guida operatore.

Note sull'architettura

ENDGAME implementa mesh relay controllato piuttosto che un'overlay P2P completamente decentralizzata. I percorsi relay sono designati dall'operatore: l'operatore sceglie quale agente agisce da pivot, e la catena relay è esplicita, arrestabile su richiesta e registrata — nessuna dipendenza dall'infrastruttura DHT pubblica come libp2p che i firewall aziendali bloccano abitualmente.

Agenti cross-platform: Tutti e quattro gli agenti supportano ora Windows e Linux. L'agente Go supporta in aggiunta macOS. Le funzionalità specifiche di Windows (evasione Windows, patch AMSI/ETW, syscall Hell's Gate, stack spoofing, furto token, iniezione PE) sono solo per Windows e vengono compilate fuori su Linux; la build Linux mantiene il beacon completo, shell, operazioni file, SOCKS5, scansione porte, persistenza, raccolta credenziali e funzionalità pivot. Vedi la matrice di supporto piattaforma sotto per i dettagli per funzionalità e lo script build_linux.sh in ogni directory degli agenti per la compilazione Linux.

Canary DNS: ogni build del payload incorpora un sottodominio canary unico per build. Quando un sandbox o scanner AV analizza dinamicamente il binario, la risoluzione DNS all'avvio dell'agente risolve canary.<token>.<c2_domain> — intercettata dal server DNS autoritativo del C2 — e l'operatore riceve un avviso di bruciatura in tempo reale tramite il flusso eventi. I canary sono tracciati per build nel database e mai riutilizzati.

Syscall indirette + stack spoofing (Nim): syscalls.nim risolve gli SSN a runtime tramite Hell's Gate (legge mov eax,SSN dagli stub ntdll) con fallback Halo's Gate per stub patchati da EDR. Quando vengono trovati entrambi un gadget syscall;ret e un gadget call rel32;ret in ntdll .text, l'agente passa a stub spoofati da 110 byte che inseriscono l'indirizzo del gadget in [RSP] prima della syscall — facendo sì che lo stack di chiamate visibile all'EDR appaia provenire dall'interno di ntdll piuttosto che dal codice dell'agente.

Hashing API (C): api_resolve.c utilizza hashing DJB2 e una camminata PEB InLoadOrderModuleList per risolvere 33 funzioni WinAPI sensibili a runtime. Nessuna di queste funzioni appare nella tabella delle importazioni del binario.

Screenshot

Vista grafico + Console AI — query: "Chi sono gli amministratori di dominio?" · la risposta identifica tywin.lannister, robert.baratheon, petyer.baelish, lord.varys in SEVENKINGDOMS.LOCAL

🎯 Vettore 1: AutoLogon del Registro (CRITICO) — Console AI agganciata al pannello destro identifica credenziali in chiaro memorizzate in HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon dopo aver eseguito SharpUp. Nessun exploit necessario.

Avviso Legale

Questo strumento è solo per test di sicurezza autorizzati, uso educativo e ambienti di laboratorio. L'uso contro sistemi senza esplicita autorizzazione scritta è illegale e severamente proibito. Utilizzando questo software accetti la Politica di Uso Etico.

Per favore, non aprire issue riguardanti il rilevamento EDR/AV. Le build predefinite includono IOC noti — consulta la documentazione IOC. Gli operatori dovrebbero ricompilare con certificati personalizzati, flag di build e profili malleabili per impegni autorizzati.