Angreppsteknik
WMI-persistens (Event Subscriptions)
Metod för att upprätthålla persistens i Windows genom att binda en skadlig åtgärd (CommandLineEventConsumer) till en systemhändelse.
🔬 Forensisk Betydelse & Utredningsmetodik
Extremt tyst; körs utan synliga filer i Autostart. Undersöks i WMI-databasen OBJECTS.DATA eller Sysmon Event ID 19, 20, 21.
⚙️ Tekniska Parametrar & Verktygsstöd
- Forensiska verktyg: AutoRuns AutorunsToWinlogon PyWMIPersistenceFinder
- MITRE ATT&CK:
T1546.003 ↗ - Relevanta Event ID:n:
Sysmon 19 (WmiEventFilter),Sysmon 20 (WmiEventConsumer),Sysmon 21 (WmiEventConsumerToFilter)