Glossar
WMI (Windows Management Instrumentation)
Die Verwaltungsschicht von Windows: Sie stellt Systeminformationen als Klassen und Instanzen bereit, beantwortet WQL-Abfragen und reagiert auf Ereignisse.
Windows Management Instrumentation ist Microsofts Implementierung der DMTF-Standards CIM und WBEM und in jede moderne Windows-Version integriert. Es stellt das System (Prozesse, Dienste, Datenträger, Anmeldungen, Leistungsindikatoren, installierte Software) als Klassen und Instanzen bereit, organisiert in Namespaces, die Administratoren und Programme lokal oder remote mit WQL abfragen. Der Dienst heißt Winmgmt; Provider, die Live-Daten liefern, laufen im WMI-Provider-Host WmiPrvSE.exe. Get-CimInstance in PowerShell ist heute der übliche Client.
Warum das für Untersuchungen wichtig ist
WMI ist ein Verwaltungswerkzeug, das auch Angreifer nutzen. Über Abfragen hinaus kann es über permanente Event Subscriptions auf Ereignisse reagieren: Ein Event-Filter bestimmt das Wann, ein Event Consumer das Was, und ein Binding verknüpft beide. Einmal mit Administratorrechten registriert, übersteht eine Subscription Neustarts und führt ihre Aktion als SYSTEM aus. MITRE ATT&CK führt dies als T1546.003.
Die Spuren liegen im CIM-Repository, einer binären Datenbank, die Autoruns-artige Prüfungen und viele Triage-Werkzeuge übersehen. Es lässt sich offline lesen und bewahrt gelöschte Objekte, bis ihr Platz wiederverwendet wird. Verwaltungsprodukte wie der ConfigMgr-Client legen dort ebenfalls Daten ab, darunter Ausführungsnachweise.
Beispiel
Eine Subscription aus drei Objekten, wie sie im Beispiel von WMI Parser vorkommt (fiktiver Host FIN-WKS-07):
__EventFilter fires about four minutes after each boot (uptime query)
CommandLineEventConsumer C:\ProgramData\Intel\m64.exe -svc
__FilterToConsumerBinding links the two
Jeder Neustart startet m64.exe als SYSTEM, ganz ohne Run-Schlüssel, Dienst oder geplanten Task.
Verwandte Begriffe
WMI Parser liest ein gesichertes WMI-Repository im Browser, ohne dass Sie etwas installieren müssen. Die Persistenztechnik im Detail beschreibt WMI-Persistenz über Event Subscriptions erklärt.