ENDGAME C2 FRAMEWORK

ENDGAME は、認可されたレッドチーム演習、ペネトレーションテスト、教育目的のセキュリティ研究のために構築された、プロフェッショナルなコマンド＆コントロールフレームワークです。現実的な敵対者（アドバーサリ）のテクニックをシミュレートし、検知カバレッジを評価し、セキュリティチームが防御上のギャップを理解するのに役立つよう設計されています — 自然言語を実行コマンドに変換し、すべての結果を自動的に分析する組み込みの AIコンソール を備えています。

AI で作られ、人間が考え、指揮を執る。

🌐 endgamec2framework.com  ·  📄 ドキュメント

クイックスタート

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

更新するには ./install.sh を再実行してください — 最新のコードを取得して再ビルドし、証明書とオペレータープロファイルは保持されます。

完全なセットアップガイド: ドキュメント → インストール

🤖 AIコンソール — 自然言語によるレッドチーム運用

ENDGAME の AIコンソール は、AI コパイロットをオペレーターのワークフローに直接組み込むファーストクラスの機能です。脇に貼り付けられたチャットボットではなく、エージェントターミナルと同じパネル内に存在し、C2 の全コマンドセットを把握し、ターゲットに関するリアルタイムのコンテキスト（ホスト名、OS、ユーザー、権限、トランスポート）を保持します。

仕組み

1. エージェントテーブル内の任意のエージェントを右クリック → AIコンソールを開く
2. 🤖 タブが下部コンソールペインに開きます — 通常のターミナルタブと並んで表示されます
3. 目的を自然言語で記述します（どの言語でも可）
4. AI が 1 つ以上の C2 コマンドを提案し、各コマンドは ▶ 実行 の実行カードに包まれます
5. 実行を確認 — タスクは実際のエージェントにディスパッチされます
6. 出力が返ると、AI が結果を自動的に分析し、次のステップを提案します

 
左: 右クリックメニュー · 右: コンソールペインに開いた AIコンソールタブ（qwen3.6）

実際の mTLS エージェント上で実行されたコマンド · AI が出力を分析し、SYSTEM 権限のプロセス列挙のために SHELL tasklist /v を提案

主な機能

サポート対象モデル（Ollama）

Ollama インスタンスで利用可能なモデルであればどれでも動作します。レッドチームのコンテキストでの推奨:

• qwen3.6:latest — デフォルト · 高速 · 指示追従に優れる
• qwen3.6:35b-a3b-coding-mxfp8 — より大規模 · コード/コマンドの推論に強い
• deepseek-r1:8b / deepseek-r1:32b — 推論モデル · 多段階の攻撃チェーンに強い
• Claude API 経由の任意の Anthropic Claude モデル

同梱内容

エージェントの機能

✓ = 実装済み · 🔧 = 進行中 / 計画中 · — = 利用不可

プラットフォームサポート

Linux でのビルド（Linux ホストから — エージェントはネイティブにコンパイルされます）:

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

エージェントのトランスポート: HTTP · HTTPS · mTLS · DNS · DoH · SMB パイプ · TCP

メッシュリレー: エージェントは HTTP または TCP ピボットとして登録できます。エージェントがチームサーバーへの直接接続を失うと（ビーコンの連続 3 回以上の失敗）、既知のピアへ自動的にフォールバックし、そのエージェントの既存トランスポートを介してビーコンを中継します。チームサーバーはすべてのビーコン応答でピアリストを配布するため、エージェントは常に最新のフォールバック先を保持できます。完全に分散化された P2P オーバーレイ（libp2p/DHT）とは異なり、ENDGAME のリレーパスはオペレーターが指定し、ログに記録されます — どのエージェントをピボットとして機能させるかを決めるのはオペレーターであり、リレーチェーンは常に明示的で、必要に応じて即座に停止できます。

回避: AMSI（VEH/DR0） · ETW ブラインド · NTDLL アンフック · Ekko XOR スリープマスキング · 間接システムコール（Hell's Gate） · スタックスプーフィング · API ハッシュ化（PEB ウォーク） · PPID スプーフィング · アンチサンドボックス · ヘッダー消去 · UDRL ファントム DLL · BLOCKDLLS · DNS カナリー焼失検知

インジェクション: リモートスレッド · APC early-bird · スレッドハイジャック · fork-and-run · ハロウィング

侵入後活動（Post-ex）: スクリーンショット · キーロガー · クリップボード · LSASS ダンプ · トークン窃取 · UAC バイパス · 永続化

ネットワーク探索: ARP（MAC を返却、Windows では権限昇格不要） · ICMP ping スイープ · TCP プローブ — スキャンごとに選択可能

ラテラルムーブメント: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: 12 戦術にマッピングされた 50 以上のコマンド · Navigator レイヤーのエクスポート · GUI 内のテクニックマトリクス

コマンド、API リファレンス、IOC リスト、オペレーターガイドについては、完全なドキュメント を参照してください。

アーキテクチャノート

ENDGAME は、完全に分散化された P2P オーバーレイではなく、制御されたメッシュリレーを実装しています。リレーパスはオペレーターが指定します。どのエージェントをピボットとして機能させるかをオペレーターが選択し、リレーチェーンは明示的で、必要に応じて即時停止でき、ログに記録されます — エンタープライズファイアウォールが日常的にブロックする libp2p のような公的 DHT インフラストラクチャへの依存はありません。

クロスプラットフォームエージェント: 4 つのエージェントすべてが Windows と Linux をサポートするようになりました。Go エージェントはさらに macOS もサポートします。プラットフォーム固有の機能（Windows の回避、AMSI/ETW パッチ、Hell's Gate システムコール、スタックスプーフィング、トークン窃取、PE インジェクション）は Windows 専用であり、Linux ではコンパイル対象から除外されます。Linux ビルドには、完全なビーコン、シェル、ファイル操作、SOCKS5、ポートスキャン、永続化、資格情報収集、ピボット機能が保持されます。機能ごとの詳細は下記の プラットフォームサポートマトリクス を、Linux でのコンパイル方法は各エージェントディレクトリ内の build_linux.sh スクリプトを参照してください。

DNS カナリー: 各ペイロードビルドには、ビルドごとに一意のカナリーサブドメインが埋め込まれます。サンドボックスや AV スキャナーがバイナリを動的に解析すると、エージェントの起動時 DNS ルックアップが canary.<token>.<c2_domain> を解決します — C2 の権威 DNS サーバーがこれを傍受し — オペレーターはイベントストリーム経由でリアルタイムの焼失（burn）アラートを受信します。カナリーはデータベースでビルドごとに追跡され、再利用されることはありません。

間接システムコール + スタックスプーフィング（Nim）: syscalls.nim は、Hell's Gate を介して実行時に SSN を解決し（ntdll スタブから mov eax,SSN を読み取る）、EDR によってパッチされたスタブには Halo's Gate をフォールバックとして使用します。ntdll .text に syscall;ret ガジェットと call rel32;ret ガジェットの両方が見つかると、エージェントは 110 バイトのスプーフィングスタブにアップグレードし、システムコールの直前に [RSP] へガジェットアドレスを配置します — これにより、EDR から見えるコールスタックがエージェントコードではなく ntdll 内部から発生しているように見えます。

API ハッシュ化（C）: api_resolve.c は、DJB2 ハッシュと PEB の InLoadOrderModuleList ウォークを使用して、実行時に 33 個の機密性の高い WinAPI 関数を解決します。これらの関数はいずれもバイナリのインポートテーブルには出現しません。

スクリーンショット

グラフビュー + AIコンソール — クエリ: 「ドメイン管理者は誰?」 · 応答は SEVENKINGDOMS.LOCAL 内の tywin.lannister、robert.baratheon、petyer.baelish、lord.varys を特定

🎯 ベクトル 1: レジストリ AutoLogon（重大） — 右パネルにドッキングされた AIコンソールが、SharpUp 実行後に HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon に保存されている平文の資格情報を特定します。エクスプロイトは不要です。

法的通知

本ツールは、認可されたセキュリティテスト、教育目的、およびラボ環境でのみ使用してください。 明示的な書面による承認なしにシステムに対して使用することは違法であり、固く禁止されています。 本ソフトウェアを使用することにより、倫理的使用ポリシー に同意したものとみなされます。

EDR/AV 検知に関する Issue は開かないでください。デフォルトビルドには既知の IOC が含まれています — IOC ドキュメント を参照してください。オペレーターは、認可された演習ではカスタム証明書、ビルドフラグ、およびマリアブルプロファイルを使用して再コンパイルする必要があります。