ENDGAME C2 FRAMEWORK

ENDGAME é um framework profissional de comando e controle construído para engajamentos autorizados de red team, testes de penetração e pesquisa educacional em segurança. Projetado para simular técnicas realistas de adversários, avaliar a cobertura de detecção e ajudar equipes de segurança a entender suas lacunas defensivas — com um AI Console integrado que transforma linguagem natural em comandos executados e analisa automaticamente cada resultado.

Feito com IA, pensado e dirigido por um humano.

🌐 endgamec2framework.com  ·  📄 Documentação

Início Rápido

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

Execute ./install.sh novamente para atualizar — ele buscará o código mais recente e recompilará, preservando certificados e perfis de operador.

Guia completo de configuração: Documentação → Instalação

🤖 AI Console — Red Teaming em Linguagem Natural

O AI Console da ENDGAME é um recurso de primeira linha que traz um copiloto de IA diretamente para o fluxo de trabalho do operador. Não é um chatbot acoplado de lado — ele vive no mesmo painel que os terminais dos seus agentes, conhece todo o conjunto de comandos do C2 e tem contexto em tempo real sobre o alvo: nome do host, SO, usuário, privilégios e transporte.

Como funciona

1. Clique com o botão direito em qualquer agente na tabela de agentes → Abrir AI Console
2. Uma aba 🤖 abre no painel inferior do console — lado a lado com suas abas de terminal normais
3. Descreva seu objetivo em linguagem natural (em qualquer idioma)
4. A IA sugere um ou mais comandos C2, cada um envolto em um cartão de execução ▶ Ejecutar
5. Confirme a execução — a tarefa é enviada ao agente real
6. A saída retorna e a IA analisa automaticamente o resultado e propõe o próximo passo

 
Esquerda: menu de clique com o botão direito · Direita: aba do AI Console aberta no painel do console (qwen3.6)

Comando executado em um agente mTLS real · a IA analisa a saída e sugere SHELL tasklist /v para enumeração de processos com privilégios de SYSTEM

Principais recursos

Modelos suportados (Ollama)

Qualquer modelo disponível na sua instância do Ollama funciona. Recomendados para contexto de red team:

• qwen3.6:latest — padrão · rápido · bom seguimento de instruções
• qwen3.6:35b-a3b-coding-mxfp8 — maior · raciocínio mais forte em código/comandos
• deepseek-r1:8b / deepseek-r1:32b — modelos de raciocínio · bons em cadeias de ataque de múltiplas etapas
• Qualquer modelo Anthropic Claude via Claude API

O que está incluído

Recursos dos agentes

✓ = implementado · 🔧 = em andamento / planejado · — = não disponível

Suporte a plataformas

Compilando para Linux (a partir de um host Linux — os agentes são compilados nativamente):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

Transportes dos agentes: HTTP · HTTPS · mTLS · DNS · DoH · pipe SMB · TCP

Relay em malha: os agentes podem se registrar como pivôs HTTP ou TCP; quando um agente perde a conectividade direta com o teamserver (≥ 3 falhas consecutivas de beacon), ele automaticamente recorre a qualquer peer conhecido e retransmite seu beacon pelo transporte existente desse agente. O teamserver distribui a lista de peers em cada resposta de beacon para que os agentes sempre tenham uma alternativa atual. Diferente de sobreposições P2P totalmente descentralizadas (libp2p/DHT), os caminhos de relay na ENDGAME são designados pelo operador e registrados em log — o operador decide qual agente atua como pivô, e a cadeia de relay é sempre explícita e pode ser interrompida sob demanda.

Evasão: AMSI (VEH/DR0) · ETW blind · unhook NTDLL · sleep masking Ekko XOR · syscalls indiretas (Hell's Gate) · stack spoofing · API hashing (PEB walk) · PPID spoof · anti-sandbox · limpeza de cabeçalho · DLL fantasma UDRL · BLOCKDLLS · detecção de queima de canário DNS

Injeção: thread remota · APC early-bird · sequestro de thread · fork-and-run · hollowing

Pós-exploração: captura de tela · keylogger · área de transferência · dump de LSASS · roubo de token · bypass de UAC · persistência

Descoberta de rede: ARP (retorna MAC, sem elevação no Windows) · varredura de ping ICMP · sonda TCP — selecionável por varredura

Movimento lateral: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: 50+ comandos mapeados em 12 táticas · exportação de camada Navigator · matriz de técnicas na GUI

Consulte a documentação completa para comandos, referência da API, lista de IOCs e guia do operador.

Notas de arquitetura

ENDGAME implementa relay em malha controlado em vez de uma sobreposição P2P totalmente descentralizada. Os caminhos de relay são designados pelo operador: o operador escolhe qual agente atua como pivô, e a cadeia de relay é explícita, interrompível sob demanda e registrada em log — sem dependência de infraestrutura DHT pública, como o libp2p, que firewalls corporativos bloqueiam rotineiramente.

Agentes multiplataforma: Todos os quatro agentes agora suportam Windows e Linux. O agente Go também suporta macOS. Os recursos específicos de plataforma (evasão no Windows, patch de AMSI/ETW, syscalls Hell's Gate, stack spoofing, roubo de token, injeção de PE) são exclusivos do Windows e ficam de fora na compilação para Linux; a build Linux mantém todo o beacon, shell, operações de arquivo, SOCKS5, varredura de portas, persistência, coleta de credenciais e funcionalidade de pivô. Consulte a matriz de suporte a plataformas abaixo para detalhes por recurso e o script build_linux.sh em cada diretório de agente para compilação no Linux.

Canários DNS: cada build de payload incorpora um subdomínio canário exclusivo por build. Quando um sandbox ou scanner de antivírus analisa dinamicamente o binário, a consulta DNS de inicialização do agente resolve canary.<token>.<c2_domain> — interceptada pelo servidor DNS autoritativo do C2 — e o operador recebe um alerta de queima em tempo real pelo fluxo de eventos. Os canários são rastreados por build no banco de dados e nunca são reutilizados.

Syscalls indiretas + stack spoofing (Nim): syscalls.nim resolve SSNs em tempo de execução via Hell's Gate (lê mov eax,SSN dos stubs da ntdll) com fallback Halo's Gate para stubs corrigidos por EDR. Quando um gadget syscall;ret e um gadget call rel32;ret são encontrados no .text da ntdll, o agente evolui para stubs falsificados de 110 bytes que plantam o endereço do gadget em [RSP] antes da syscall — fazendo a pilha de chamadas visível ao EDR parecer originar-se de dentro da ntdll, e não do código do agente.

API hashing (C): api_resolve.c usa hashing DJB2 e uma varredura PEB de InLoadOrderModuleList para resolver 33 funções sensíveis da WinAPI em tempo de execução. Nenhuma dessas funções aparece na tabela de importações do binário.

Capturas de tela

Visão em grafo + AI Console — consulta: "Quem são os administradores de domínio?" · a resposta identifica tywin.lannister, robert.baratheon, petyer.baelish, lord.varys em SEVENKINGDOMS.LOCAL

🎯 Vetor 1: AutoLogon do Registro (CRÍTICO) — AI Console acoplado ao painel direito identifica credenciais em texto puro armazenadas em HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon após executar o SharpUp. Nenhum exploit necessário.

Aviso legal

Esta ferramenta é apenas para testes de segurança autorizados, uso educacional e ambientes de laboratório. O uso contra sistemas sem autorização explícita por escrito é ilegal e estritamente proibido. Ao usar este software, você concorda com a Política de Uso Ético.

Por favor, não abra issues sobre detecção de EDR/AV. As builds padrão incluem IOCs conhecidos — consulte a documentação de IOCs. Os operadores devem recompilar com certificados personalizados, flags de build e perfis malleable para engajamentos autorizados.