Glossar
scrcons.exe (WMI Standard Event Consumer)
Der Windows-Prozess, der Skripte von ActiveScriptEventConsumer ausführt. Läuft er oder hat er Kindprozesse, deutet das auf eine WMI-Skript-Subscription hin.
scrcons.exe in C:\Windows\System32\wbem ist der Host des WMI Standard Event Consumer für Skripte. Löst eine permanente Subscription aus, deren Consumer ein ActiveScriptEventConsumer ist, startet WMI scrcons.exe, das das VBScript oder JScript des Consumers als SYSTEM ausführt. Es ist eine legitime Windows-Binärdatei; entscheidend ist, warum sie läuft und was sie tut.
Warum das für Untersuchungen wichtig ist
Auf den meisten Systemen läuft scrcons.exe selten, weil nur wenige legitime Produkte Skript-Consumer verwenden. Seine Ausführung ist daher schon für sich ein nützlicher Hinweis. Suchen Sie danach in Prefetch (eine Prefetch-Datei SCRCONS.EXE), in Amcache, in Ereignissen zur Prozesserstellung (Security-Ereignis 4688, wenn die Prozessüberwachung aktiviert ist, oder Sysmon-Ereignis 1) und in EDR-Telemetrie. Kindprozesse von scrcons.exe wie powershell.exe, cmd.exe oder rundll32.exe deuten stark auf einen bösartigen Skript-Consumer hin.
Befehlszeilen-Consumer verwenden ihn dagegen nicht: Ein CommandLineEventConsumer wird vom WMI-Provider-Host WmiPrvSE.exe gestartet. Wenn Sie wissen, nach welchem Elternprozess Sie suchen, wissen Sie auch, welche Art von Consumer Sie im Repository erwarten können.
Beispiel
Eine typische Abfolge, die Sie korrelieren sollten (Zeiten nur zur Veranschaulichung):
09:12:04 scrcons.exe starts (Prefetch, 4688)
09:12:05 powershell.exe -nop -w hidden -enc ... parent: scrcons.exe
Sehen Sie so etwas, prüfen Sie das CIM-Repository auf einen Skript-Consumer und sein Binding, aktiv oder wiederhergestellt, und lesen Sie das Skript sowie die Abfrage des Filters. Gleichen Sie die Ausführungszeiten mit dem Auslöser ab: Ein Filter auf die Systemlaufzeit löst kurz nach dem Systemstart aus, einer auf Anmeldungen bei jeder Anmeldung. Ereignis-ID 5861 und die Sysmon-Ereignisse 19 bis 21 können die Registrierung datieren.
Verwandte Begriffe
WMI Parser zeigt jeden Skript-Consumer eines gesicherten Repositorys mit seinem Skripttext. Den vollständigen Ablauf finden Sie in der Checkliste für die Untersuchung von WMI-Persistenz.