Beiträge mit dem Tag: #wmi

CCM_RecentlyUsedApps aus dem WMI-Repository lesen: welche Programme jeder Benutzer wann zuletzt und wie oft startete, inklusive älterer Kopien aus OBJECTS.DATA.

Schritt-für-Schritt-Checkliste zu WMI-Persistenz: Live-Abfragen, Repository, Ereignis-IDs 5860 und 5861, Sysmon 19–21, Ausführungsspuren und Bereinigung.

Die zwei WMI-Subscriptions von Windows — SCM Event Log und BVTFilter/BVTConsumer: Inhalt, warum sie harmlos sind und wie Angreifer die Namen missbrauchen.

Warum gelöschte WMI-Filter, Consumer und Bindings in OBJECTS.DATA überleben, Index vs. Carving und python-cim vs. PyWMIPersistenceFinder.

Wo das WMI-Repository liegt und wie Sie OBJECTS.DATA, INDEX.BTR und die MAPPING-Dateien sicher kopieren: Schattenkopie, KAPE, Velociraptor oder Image.

Wie das WMI-CIM-Repository Objekte speichert: Seiten in OBJECTS.DATA, INDEX.BTR-Schlüssel, die drei MAPPING-Dateien, Klassen, Instanzen und Namens-Hashes.

So funktioniert WMI-Persistenz über Event Subscriptions: __EventFilter, Event Consumer und __FilterToConsumerBinding, ihr Speicherort und wie Sie sie finden.