en

Metasploit nie jest skanerem ani zabawką — to framework do kontrolowanej kompromitacji. Znaczenie zyskuje tam, gdzie podatności przestają być suchą listą, a stają się realnie wykorzystywane. Początkowy dostęp to dopiero punkt wyjścia. Prawdziwa wartość pojawia się później, gdy o sukcesie operacji decydują kontrola, ekspansja i persystencja.

W centrum znajduje się Meterpreter — pamięciowy payload stworzony do posteksploatacji i bezpośredniej pracy na skompromitowanych systemach. Operacje na plikach, pozyskiwanie poświadczeń, manipulacja procesami i pivoting w głąb sieci wewnętrznej dzieją się w ramach jednej sesji, bez klasycznych artefaktów na dysku. Modułowa architektura pozwala rozbudowywać go w locie i właśnie ta elastyczność stanowi o jego sile po uzyskaniu dostępu.

Tyle że ta sama siła jest jednocześnie powierzchnią ataku.

Nowoczesne systemy EDR i AV nie polują już na sygnatury — analizują zachowanie. Bez przerwy korelują techniki pamięciowe, wywołania API, struktury wątków i ruch sieciowy, a charakterystyczne wzorce Meterpretera są dobrze znane. W wielu środowiskach niezmieniony payload pada w ciągu chwil.

Meterpreter nie jest więc narzędziem stealth, tylko frameworkiem, który trzeba dopasować. O przeżyciu sesji decydują ofuscacja, niestandardowe ładowarki, kontrolowane ścieżki wykonania i czysta OPSEC.

Dla Exfilion Meterpreter nie jest celem samym w sobie, lecz jednym z elementów — wpiętym w indywidualny tradecraft i dopasowanym do konkretnego środowiska docelowego.

Prawdziwe ataki nie przegrywają z braku exploitów — przegrywają z wykryciem.