Glossar
__EventFilter
Die WMI-Klasse, die den Auslöser einer Event Subscription beschreibt: eine benannte WQL-Abfrage, ihre Sprache und der überwachte Namespace.
Eine __EventFilter-Instanz ist das Wann einer WMI Event Subscription. Sie ist eine benannte WQL-Ereignisabfrage: WMI wertet sie fortlaufend aus und übergibt jedes passende Ereignis an alle Event Consumer, die an den Filter gebunden sind. Ihre Eigenschaften sind Name, Query, QueryLanguage (in der Praxis immer WQL), EventNamespace (der Namespace, dessen Ereignisse überwacht werden, meist root\cimv2), EventAccess und CreatorSID. Die Klasse selbst ist eine Systemklasse, definiert in __SystemClass.
Warum das für Untersuchungen wichtig ist
Die Abfrage verrät Ihnen, wann die Nutzlast ausgeführt wird, und das bestimmt die übrige Zeitleiste. Für Persistenz genutzte Filter überwachen häufig die Systemlaufzeit (sodass die Aktion kurz nach jedem Systemstart läuft), Benutzeranmeldungen, den Start eines bestimmten Prozesses, das Einstecken eines Geräts oder einen WMI-Timer. CreatorSID hält das Konto fest, das den Filter registriert hat.
Ein Filter allein bewirkt nichts: Er wird erst wirksam, wenn ein __FilterToConsumerBinding ihn mit einem Consumer verknüpft. Angreifer binden manchmal ihren eigenen Consumer an einen bestehenden Filter, auch an einen Standardfilter. Zählen Sie daher die Bindings, die auf jeden Filter verweisen, statt den Filter nach seinem Namen zu beurteilen.
Beispiel
Der klassische Auslöser über die Systemlaufzeit, aus dem Beispiel von WMI Parser:
SELECT * FROM __InstanceModificationEvent WITHIN 60
WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'
AND TargetInstance.SystemUpTime >= 240 AND TargetInstance.SystemUpTime < 325
WMI fragt die Leistungsklasse alle 60 Sekunden ab und löst aus, wenn die Laufzeit zwischen 240 und 325 Sekunden liegt: etwa vier Minuten nach jedem Systemstart. Da EventNamespace auf root\cimv2 gesetzt ist, funktioniert dieser Filter auch dann, wenn er in root\subscription registriert ist, wo Persistenz-Filter normalerweise liegen.
Verwandte Begriffe
WMI Parser zeigt die Abfrage jedes Filters neben dem Consumer, den er auslöst. Das Gesamtbild beschreibt WMI-Persistenz über Event Subscriptions erklärt.