Skip to content
WMIparser

Glosario

scrcons.exe (WMI Standard Event Consumer)

El proceso de Windows que ejecuta los scripts de ActiveScriptEventConsumer. Verlo en ejecución, o a sus hijos, apunta a una suscripción WMI de script.

scrcons.exe, en C:\Windows\System32\wbem, es el host de WMI Standard Event Consumer para scripts. Cuando se dispara una suscripción permanente cuyo consumidor es un ActiveScriptEventConsumer, WMI inicia scrcons.exe, que ejecuta el VBScript o JScript del consumidor como SYSTEM. Es un binario legítimo de Windows; lo que importa es por qué se ejecuta y qué hace.

Por qué importa en una investigación

En la mayoría de los sistemas, scrcons.exe rara vez se ejecuta, porque pocos productos legítimos usan consumidores de script. Por tanto, su ejecución es ya de por sí una pista útil. Búsquelo en Prefetch (un archivo de prefetch SCRCONS.EXE), en Amcache, en los eventos de creación de procesos (el evento 4688 de Security cuando la auditoría de procesos está habilitada, o el evento 1 de Sysmon) y en la telemetría del EDR. Los procesos hijos de scrcons.exe, como powershell.exe, cmd.exe o rundll32.exe, apuntan claramente a un consumidor de script malicioso.

En cambio, los consumidores de línea de comandos no lo usan: a un CommandLineEventConsumer lo inicia el host de proveedores WMI, WmiPrvSE.exe. Saber qué proceso padre buscar le indica qué tipo de consumidor esperar en el repositorio.

Ejemplo

Una secuencia típica para correlacionar (las horas son ilustrativas):

09:12:04  scrcons.exe starts (Prefetch, 4688)
09:12:05  powershell.exe -nop -w hidden -enc ...   parent: scrcons.exe

Cuando vea esto, busque en el repositorio CIM un consumidor de script y su enlace, activos o recuperados, y lea el script y la consulta del filtro. Alinee las horas de ejecución con el disparador: un filtro de tiempo de actividad se dispara poco después del arranque; uno de inicio de sesión, cada vez que un usuario inicia sesión. El evento con ID 5861 y los eventos 19 a 21 de Sysmon pueden fechar el registro de la suscripción.

Términos relacionados

WMI Parser muestra todos los consumidores de script de un repositorio recopilado, con el texto de su script. Para el flujo de trabajo completo, consulte Persistencia WMI: checklist de respuesta a incidentes.