重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。
以下为摘要预览，完整内容请查看 GitHub 原文。
Detecting WMI Persistence
When to Use
- When hunting for WMI event subscription persistence (MITRE ATT&CK T1546.003)
- After detecting suspicious WMI activity in endpoint telemetry
- During incident response to identify attacker persistence mechanisms
- When Sysmon alerts trigger on Event IDs 19, 20, or 21
- During purple team exercises testing WMI-based persistence
Prerequisites
- Sysmon v6.1+ deployed with WMI event logging enabled (Event IDs 19, 20, 21)
- Windows Security Event Log forwarding configured
- SIEM with Sysmon data ingested (Splunk, Elastic, Sentinel)
- PowerShell access for WMI enumeration on endpoints
- Sysinternals Autoruns for manual WMI subscription review
Workflow
- Collect Telemetry: Parse Sysmon Event IDs 19 (WmiEventFilter), 20 (WmiEventConsumer), 21 (WmiEventConsumerToFilter).
- Identify Suspicious Consumers: Flag CommandLineEventConsumer and ActiveScriptEventConsumer types executing code.
- Analyze Event Filters: Examine WQL queries in EventFilters for process start triggers or timer-based execution.
- Correlate Bindings: Match FilterToConsumerBindings linking suspicious filters to consumers.
- **Check Persistence Loca…
以下为摘要预览，完整内容请查看 GitHub 原文。
检测 WMI 持久化
适用场景
- 搜寻 WMI 事件订阅持久化机制（MITRE ATT&CK T1546.003）时
- 在端点遥测中检测到可疑的 WMI 活动之后
- 在事件响应过程中，用于识别攻击者的持久化机制
- 当 Sysmon 针对事件 ID 19、20 或 21 触发告警时
- 在紫队演练中测试基于 WMI 的持久化能力时
前置条件
- 已部署 Sysmon v6.1+ 并启用 WMI 事件日志记录（事件 ID 19、20、21）
- 已配置 Windows 安全事件日志转发
- SIEM 已接入 Sysmon 数据（Splunk、Elastic、Sentinel）
- 在端点上拥有 PowerShell 权限以枚举 WMI
- 使用 Sysinternals Autoruns 进行手动 WMI 订阅审查
工作流程
- 收集遥测数据：解析 Sysmon 事件 ID 19（WmiEventFilter）、20（WmiEventConsumer）、21（WmiEventConsumerToFilter）。
- 识别可疑 Consumer：标记执行代码的 CommandLineEventConsumer 和 ActiveScriptEventConsumer 类型。
- 分析事件过滤器：检查 EventFilter 中的 WQL 查询，寻找进程启动触发器或基于定时器的执行行为。
- 关联绑定关系：匹配将可疑过滤器连接到 Consumer 的 FilterToConsumerBinding。
- 检查持久化位置：查询 root\subscription 和 root\default 命名空间中的活跃订阅。
- 验证发现：与已知的合法 WMI 订阅（SCCM、AV 产品）进行交叉比对。
- 记录并处置：清除恶意订阅并更新检测规则。
关键概念
| 概念 | 说明 |
|---|
| Sysmon Event 19 | 检测到 WmiEventFilter 创建 |
| Sysmon Event 20 | 检测到 WmiEventConsumer 创建 |
| Sysmon Event 21 | 检测到 WmiEventConsumerToFilter 绑定 |
| T1546.003 | 事件触发执行：WMI 事件订阅 |
| CommandLineEventConsumer | 当过滤器触发时执行系统命令 |
| ActiveScriptEventConsumer | 当过滤器触发时运行 VBScript/JScript |
工具与系统
| 工具 | 用途 |
|------|--------…
