Series
WMI-Persistenz untersuchen
4 posts in this series. Read them in order or jump to any one.
- Gelöschte WMI-Persistenz aus OBJECTS.DATA wiederherstellen
Warum gelöschte WMI-Filter, Consumer und Bindings in OBJECTS.DATA überleben, Index vs. Carving und python-cim vs. PyWMIPersistenceFinder.
- SCM Event Log Consumer und BVTConsumer: harmlos oder nicht?
Die zwei WMI-Subscriptions von Windows — SCM Event Log und BVTFilter/BVTConsumer: Inhalt, warum sie harmlos sind und wie Angreifer die Namen missbrauchen.
- WMI-Persistenz untersuchen: Checkliste für Incident Response
Schritt-für-Schritt-Checkliste zu WMI-Persistenz: Live-Abfragen, Repository, Ereignis-IDs 5860 und 5861, Sysmon 19–21, Ausführungsspuren und Bereinigung.
- SCCM RecentlyUsedApps: Ausführungsnachweise in WMI
CCM_RecentlyUsedApps aus dem WMI-Repository lesen: welche Programme jeder Benutzer wann zuletzt und wie oft startete, inklusive älterer Kopien aus OBJECTS.DATA.