Meterpreter es un payload de Metasploit que soporta el proceso de pentesting con varios componentes de valor. Meterpreter correrá en el sistema víctima y actuará como un agente en un "command and control".
¿Cómo funciona Meterfreter
Meterpreter se ejecuta en el sistema objetivo pero no está instalado allí. Corre en memoria (RAM) y no se escribe en el disco (con el objetivo de no ser detectado por los escaneos de antivirus). De esta manera es visto tan sólo como un proceso.
Meterpreter también intenta evitar ser detectado por IPSs (Intrusion Prevention System) basados en red e IDSs (Intrusion Detection System) usando comunicación encriptada con el servidor. Si el sistema objetivo no desencripta y revisa este tráfico, estas soluciones no podrán detectar su actividad.
Aunque Meterpreter es reconocido por la mayoría de software de antivirus, esta funcionalidad presenta cierto sigilo. De hecho, como es un proceso tiene un PID, pero si miramos el nombre bajo ese PID en la máquina objetivo no veremos meterpreter por ningún lado, sino spoolsv.exe. Incluso si vamos más allá y comprobamos las DLLs (Dynamic-Link Libraries), no veremos ningún meterpreter.dll.
Meterpreter establecerá un canal de comunicación encriptada (TLS) con el sistema atacante.