Sono impegnato con i test di sicurezza su una rete di clienti e mi è stato chiesto di mostrare quanto è semplice evasione AV. Ho creato un bel file HTTPS inverso con powershell tramite veil-evasion, che non viene rilevato da Symantec virusscanner (test con Norton Deluxe).
Quindi è stato abbastanza facile, ma quando lo eseguo, la parte IPS di virusscanner (l'ho testata, è puramente l'IPS) rileva ancora il traffico di rete meterpreter. Per quanto posso vedere con Wireshark, la connessione arriva al messaggio "Hello, Certificate, Server Hello Done" e viene ucciso lì e là.
La mia domanda è: come l'IPS rileva questo? Cosa nel messaggio meterpreter sta attivando questo IPS? E poi, cosa usare per aggirare questo ancora usando meterpreter (e non dover scrivere la mia backdoor)?