Meterpreter - kontroll slutter ikke ved tilgang, men ved oppdagelse

Metasploit er ikke en skanner og ikke et leketøy. Det er et rammeverk for kontrollert kompromittering. Det blir relevant der sårbarheter ikke bare finnes, men aktivt utnyttes. Første tilgang er bare begynnelsen. Den reelle verdien oppstår etterpå. Kontroll, utvidelse og persistens avgjør operasjonens suksess.

I sentrum står Meterpreter. En payload som er resident i minnet, bygget for post-exploitation. Utformet for direkte tilgang til kompromitterte systemer. Filoperasjoner, tilgang til påloggingsdata, prosessmanipulering og pivoting til interne nettverk skjer i en etablert sesjon. Klassiske spor på disk unngås. Arkitekturen er modulær og kan utvides dynamisk. Det er her styrken i post-exploitation blir synlig.

Denne styrken er også en angrepsflate.

Moderne EDR- og AV-systemer oppdager ikke lenger bare signaturer, men atferd. Minneteknikker, API-kall, trådstrukturer og nettverkskommunikasjon korreleres kontinuerlig. De typiske mønstrene til Meterpreter er godt kjent. En uadaptert payload vil bli oppdaget og stoppet i mange miljøer svært raskt.

Dette betyr at Meterpreter ikke er et stealth-verktøy. Det er et rammeverk som må tilpasses. Obfuskasjon, egne lastere, kontrollerte utførelsesveier og ren OPSEC avgjør om en sesjon overlever.

For Exfilion er Meterpreter ikke et sluttmål, men en byggekloss. Innlemmet i individuell tradecraft og tilpasset det aktuelle miljøet.

Virkelige angrep feiler ikke på grunn av manglende exploits. De feiler på grunn av deteksjon.