Meterpreter - kontrol slutter ikke ved adgang, men ved detektering

Metasploit er ikke en scanner og ikke et legetøj. Det er et framework til kontrolleret kompromittering. Det bliver relevant, hvor sårbarheder ikke blot findes, men aktivt udnyttes. Første adgang er kun begyndelsen. Den reelle værdi opstår bagefter. Kontrol, udvidelse og persistens afgør operationens succes.

I centrum står Meterpreter. En hukommelsesresident payload bygget til post-exploitation. Designet til direkte adgang til kompromitterede systemer. Filoperationer, adgang til legitimationsoplysninger, procesmanipulation og pivoting til interne netværk foregår inde i en etableret session. Klassiske spor på disken undgås. Arkitekturen er modulær og kan udvides dynamisk. Det er her, styrken i post-exploitation viser sig.

Den styrke er også en angrebsflade.

Moderne EDR- og AV-systemer registrerer ikke længere kun signaturer, men adfærd. Hukommelsesteknikker, API-kald, trådstrukturer og netværkskommunikation korreleres løbende. De typiske mønstre hos Meterpreter er velkendte. En umodificeret payload vil blive opdaget og stoppet i mange miljøer inden for meget kort tid.

Det betyder, at Meterpreter ikke er et stealth-værktøj. Det er et framework, der skal tilpasses. Obfuskering, brugerdefinerede loaders, kontrollerede eksekveringsveje og ren OPSEC afgør, om en session overlever.

For Exfilion er Meterpreter ikke et endemål, men en byggeklods. Indlejret i individuel tradecraft og afstemt efter det specifikke målområde.

Virkelige angreb fejler ikke på grund af manglende exploits. De fejler på grund af detektion.