NT-2026.10.06 DOSSIÊ RED TEAM

METASPLOIT: EVASÃO DE AV/EDR WINDOWS COM PAYLOADS OFUSCADOS

2 MIN REDAÇÃO

Walkthrough técnico de evasão de antivírus/EDR Windows com Metasploit: encoders x64, templates executáveis (PuTTY, TeamViewer), ScareCrow, PyInMemoryPE, ofuscação com arquivos criptografados e packers.

Capa editorial Metasploit: evasão de AV/EDR Windows — análise, ofuscação, ferramentas
Exemplo de detecção de Mimikatz por hash SHA-256 conhecido pelo antivírus
Figura 1. Antivírus detecta Mimikatz via signature-based detection: hash SHA-256 conhecido bloqueado imediatamente.
Análise estática detectando string 'mimikatz' no arquivo via DefenderCheck
Figura 2. Análise estática via DefenderCheck: string ‘mimikatz’ detectada no binário — flagged como suspeito.
Comunicação criptografada Meterpreter via túnel AES no MSF6
Figura 5b. Comunicação criptografada: túnel AES no MSF6 roteia tráfego Meterpreter ocultando de IDS/IPS.
Geração de payload com encoders x64 avançados via msfvenom
Figura 15b. Encoders x64 avançados: xor_context, xor_dynamic, zutto_dekiru para ofuscação de payload.
Arquivo TeamViewer backdoored detectado como malicioso pelo Windows Defender
Figura 3. Windows Defender detecta arquivo backdoored (TeamViewer_Setup.exe) — flagged como malware.
Mesmo arquivo backdoored (PuTTY) passa despercebido pelo Windows Defender
Figura 4. Windows Defender não detecta PuTTY backdoored (puttyX.exe) — zero detecções.
Sessão Meterpreter aberta via PuTTY backdoored (puttyX.exe)
Figura 5. Sessão Meterpreter aberta ao executar puttyX.exe — backdoor funcional.
Sessão meterpreter_reverse_tcp ativa no Metasploit handler
Figura 6. Handler multi/handler captura sessão meterpreter_reverse_tcp na porta 443.
Geração de payload com msfvenom para uso com ScareCrow
Figura 7. Geração de payload via msfvenom para posterior assinatura com ScareCrow.
ScareCrow assinando executável com certificado Microsoft falso
Figura 8. ScareCrow aplica certificado Microsoft falso ao payload — spoofing de assinatura.
Execução do ScareCrow no sistema alvo e conexão reversa
Figura 9. Execução do payload assinado no alvo — conexão reversa estabelecida.
Geração de payload para PyInMemoryPE via msfvenom
Figura 10. Geração de payload Meterpreter para execução em memória com PyInMemoryPE.
Download do PyInMemoryPE para Windows
Figura 11. Download do PyInMemoryPE compilado para Windows.
Servidor HTTP Python servindo payload para execução remota
Figura 12. Servidor HTTP Python (python3 -m http.server) servindo payload para execução em memória.
Execução do payload em memória via cmd no Windows alvo
Figura 13. Execução do payload diretamente na memória via cmd — sem escrita em disco.
Sessão Meterpreter aberta via PyInMemoryPE
Figura 14. Sessão Meterpreter aberta após execução em memória com PyInMemoryPE.
Geração de payload Meterpreter para ofuscação com arquivo RAR
Figura 15. Geração de payload Meterpreter reverse shell (5 iterações shikata_ga_nai) para ofuscação.
Escaneamento do arquivo duplo RAR ofuscado: zero detecções
Figura 16. Scan do arquivo duplo RAR ofuscado (test2) — zero detecções pelo antivírus.

Continue lendo