ENDGAME C2 FRAMEWORK

ENDGAME — это профессиональный фреймворк командования и управления (C2), созданный для авторизованных red team-мероприятий, тестирования на проникновение и образовательных исследований в области безопасности. Разработан для имитации реалистичных техник противника, оценки покрытия детектирования и помощи командам безопасности в понимании своих оборонительных пробелов — со встроенной AI-консолью, которая превращает естественный язык в выполняемые команды и автоматически анализирует каждый результат.

Hecho con IA, pensado y dirigido por un humano.

🌐 endgamec2framework.com  ·  📄 Документация

Быстрый старт

git clone https://github.com/endgamec2framework/endgame
cd endgame
./install.sh

Повторно запустите ./install.sh для обновления — он подтянет последний код и пересоберёт проект, сохраняя сертификаты и профили операторов.

Полное руководство по установке: Документация → Установка

🤖 AI-консоль — Red Teaming на естественном языке

AI-консоль ENDGAME — это функция первого класса, которая встраивает AI-копилота непосредственно в рабочий процесс оператора. Это не чат-бот, прикрученный сбоку — он живёт в той же панели, что и терминалы агентов, знает полный набор команд C2 и имеет контекст о цели в реальном времени: имя хоста, ОС, пользователь, привилегии и транспорт.

Как это работает

1. Щёлкните правой кнопкой мыши по любому агенту в таблице агентов → Открыть AI-консоль
2. В нижней панели консоли открывается вкладка 🤖 — рядом с вашими обычными вкладками терминала
3. Опишите свою цель на естественном языке (на любом языке)
4. AI предлагает одну или несколько команд C2, каждая из которых обёрнута в карточку выполнения ▶ Ejecutar
5. Подтвердите выполнение — задача отправляется реальному агенту
6. Вывод возвращается, и AI автоматически анализирует результат и предлагает следующий шаг

 
Слева: контекстное меню · Справа: вкладка AI-консоли, открытая в панели консоли (qwen3.6)

Команда выполнена на реальном агенте mTLS · AI анализирует вывод и предлагает команду SHELL tasklist /v для перечисления процессов с привилегиями SYSTEM

Ключевые возможности

Поддерживаемые модели (Ollama)

Подходит любая модель, доступная в вашем экземпляре Ollama. Рекомендуемые для контекста red team:

• qwen3.6:latest — по умолчанию · быстрая · хорошо следует инструкциям
• qwen3.6:35b-a3b-coding-mxfp8 — крупнее · сильнее в рассуждениях о коде/командах
• deepseek-r1:8b / deepseek-r1:32b — модели рассуждений · хороши для многошаговых цепочек атак
• Любая модель Anthropic Claude через Claude API

Что внутри

Возможности агентов

✓ = реализовано · 🔧 = в разработке / планируется · — = недоступно

Поддержка платформ

Сборка для Linux (с Linux-хоста — агенты компилируются нативно):

# Go
GOOS=linux GOARCH=amd64 go build -o agent_linux .

# Rust
cargo build --release --target x86_64-unknown-linux-gnu

# C
make -f Makefile.linux AGENT_SERVER_URL=https://<c2>:<port>

# Nim
./build_linux.sh

Транспорты агентов: HTTP · HTTPS · mTLS · DNS · DoH · SMB pipe · TCP

Mesh relay: агенты могут регистрироваться как HTTP- или TCP-пивоты; когда агент теряет прямое соединение с teamserver (≥ 3 последовательных сбоя beacon), он автоматически переключается на любого известного пира и ретранслирует свой beacon через существующий транспорт этого агента. Teamserver распространяет список пиров в каждом ответе beacon, поэтому агенты всегда имеют актуальный запасной вариант. В отличие от полностью децентрализованных P2P-оверлеев (libp2p/DHT), пути ретрансляции в ENDGAME назначаются оператором и логируются — оператор решает, какой агент будет пивотом, а цепочка ретрансляции всегда явная и может быть остановлена по требованию.

Обход защиты: AMSI (VEH/DR0) · ETW blind · NTDLL unhook · Ekko XOR sleep masking · косвенные системные вызовы (Hell's Gate) · спуфинг стека · хеширование API (обход PEB) · PPID spoof · анти-песочница · очистка заголовка · UDRL phantom DLL · BLOCKDLLS · обнаружение срабатывания DNS canary

Инъекции: remote thread · APC early-bird · thread hijack · fork-and-run · hollowing

Пост-эксплуатация: снимок экрана · кейлоггер · буфер обмена · дамп LSASS · кража токенов · обход UAC · персистентность

Сетевое обнаружение: ARP (возвращает MAC, без повышения привилегий на Windows) · ICMP ping sweep · TCP probe — выбирается для каждого сканирования

Латеральное перемещение: psexec · smbexec · atexec · wmi · dcom · winrm · ssh

MITRE ATT&CK: 50+ команд, сопоставленных с 12 тактиками · экспорт слоя Navigator · матрица техник в GUI

См. полную документацию для команд, API-справочника, списка IOC и руководства оператора.

Заметки по архитектуре

ENDGAME реализует управляемый mesh relay, а не полностью децентрализованный P2P-оверлей. Пути ретрансляции назначаются оператором: оператор выбирает, какой агент будет пивотом, а цепочка ретрансляции явная, может быть остановлена по требованию и логируется — без зависимости от публичной DHT-инфраструктуры, такой как libp2p, которую корпоративные брандмауэры обычно блокируют.

Кроссплатформенные агенты: Все четыре агента теперь поддерживают Windows и Linux. Go-агент дополнительно поддерживает macOS. Платформенные функции (обход на Windows, AMSI/ETW patch, системные вызовы Hell's Gate, спуфинг стека, кража токенов, PE-инъекции) доступны только на Windows и отключаются при компиляции на Linux; сборка для Linux сохраняет полный beacon, shell, файловые операции, SOCKS5, сканирование портов, персистентность, сбор учётных данных и функциональность пивота. См. матрицу поддержки платформ ниже для деталей по каждой функции и скрипт build_linux.sh в каталоге каждого агента для компиляции под Linux.

DNS canaries: каждая сборка полезной нагрузки встраивает уникальный canary-поддомен для конкретной сборки. Когда песочница или AV-сканер динамически анализирует бинарник, стартовый DNS-запрос агента разрешает canary.<token>.<c2_domain> — перехватывается авторитетным DNS-сервером C2 — и оператор получает оповещение о срабатывании в реальном времени через поток событий. Canaries отслеживаются для каждой сборки в базе данных и никогда не используются повторно.

Косвенные системные вызовы + спуфинг стека (Nim): syscalls.nim разрешает SSN во время выполнения через Hell's Gate (читает mov eax,SSN из стабов ntdll) с запасным вариантом Halo's Gate для стабов, пропатченных EDR. Когда в .text ntdll найдены и gadget syscall;ret, и gadget call rel32;ret, агент переходит на 110-байтные спуфинг-стабы, которые помещают адрес gadget в [RSP] перед системным вызовом — делая стек вызовов, видимый EDR, похожим на исходящий из ntdll, а не из кода агента.

Хеширование API (C): api_resolve.c использует хеширование DJB2 и обход PEB InLoadOrderModuleList для разрешения 33 чувствительных функций WinAPI во время выполнения. Ни одна из этих функций не появляется в таблице импорта бинарника.

Скриншоты

Представление графа + AI-консоль — запрос: «Кто администраторы домена?» · ответ идентифицирует tywin.lannister, robert.baratheon, petyer.baelish, lord.varys в SEVENKINGDOMS.LOCAL

🎯 Вектор 1: AutoLogon в реестре (CRÍTICO) — AI-консоль, закреплённая на правой панели, идентифицирует учётные данные в открытом виде, хранящиеся в HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon после запуска SharpUp. Эксплойт не требуется.

Правовое уведомление

Этот инструмент предназначен только для авторизованного тестирования безопасности, образовательного использования и лабораторных сред. Использование против систем без явного письменного разрешения незаконно и строго запрещено. Используя это программное обеспечение, вы соглашаетесь с Политикой этичного использования.

Пожалуйста, не открывайте issues, касающиеся обнаружения EDR/AV. Стандартные сборки включают известные IOC — см. документацию по IOC. Операторам следует перекомпилировать с пользовательскими сертификатами, флагами сборки и malleable-профилями для авторизованных мероприятий.