Glosario
Repositorio CIM (repositorio WMI)
La base de datos en disco donde WMI guarda definiciones de clase e instancias: OBJECTS.DATA, INDEX.BTR y MAPPING1-3.MAP en System32\wbem\Repository.
El repositorio CIM, también llamado repositorio WMI, es el almacén persistente de WMI. Se encuentra en C:\Windows\System32\wbem\Repository en Windows Vista y versiones posteriores (Repository\FS en Windows XP y Server 2003) y contiene las definiciones de clase y las instancias estáticas de todos los espacios de nombres, incluidas las suscripciones de eventos permanentes y los datos que escribe software como el cliente de ConfigMgr.
Es una pequeña base de datos organizada en páginas y formada por cinco archivos: OBJECTS.DATA contiene los registros, INDEX.BTR es un índice en árbol B sobre ellos, y los tres archivos MAPPING traducen los números de página lógicos a físicos. Microsoft no documenta este contenedor; su estructura la obtuvo FireEye mediante ingeniería inversa en 2015 (python-cim, parte de flare-wmi), mientras que la codificación de cada objeto sigue la especificación pública MS-WMIO de Microsoft.
Por qué importa en una investigación
Todos los filtros de eventos, consumidores y enlaces de una persistencia WMI se almacenan aquí, por lo que el repositorio es la evidencia principal para MITRE ATT&CK T1546.003. Puede leerse sin conexión, sin confiar en el servicio WMI de un host posiblemente comprometido, y conserva más de lo que muestra una consulta en vivo: las versiones eliminadas y anteriores de los objetos permanecen en páginas liberadas hasta que WMI reutiliza el espacio.
Por eso importa el orden de recopilación. No detenga el servicio WMI ni reconstruya el repositorio antes de copiarlo, y tome los cinco archivos del mismo instante, idealmente de una instantánea de volumen (Volume Shadow Copy). Un índice o un mapa de otro momento apunta a páginas equivocadas.
Ejemplo
Una carpeta recopilada típica:
C:\Windows\System32\wbem\Repository\
INDEX.BTR
MAPPING1.MAP
MAPPING2.MAP
MAPPING3.MAP
OBJECTS.DATA
Tras una actualización en contexto (in-place upgrade), revise también C:\Windows.old\Windows\System32\wbem\Repository.
Términos relacionados
Arrastre la carpeta a WMI Parser para leerla en el navegador. Para el formato de archivo en profundidad, lea Dentro de OBJECTS.DATA; para la adquisición, consulte cómo recopilar el repositorio WMI para análisis forense.