Skip to content
WMIparser

Glosario

WMI (Windows Management Instrumentation)

La capa de administración de Windows: expone información del sistema como clases e instancias, responde a consultas WQL y ejecuta acciones ante eventos.

Windows Management Instrumentation es la implementación de Microsoft de los estándares CIM y WBEM del DMTF, integrada en todas las versiones modernas de Windows. Expone el sistema (procesos, servicios, discos, inicios de sesión, contadores de rendimiento, software instalado) como clases e instancias organizadas en espacios de nombres, que administradores y programas consultan con WQL, en local o en remoto. El servicio es Winmgmt; los proveedores que suministran datos en vivo se ejecutan en el host de proveedores WMI, WmiPrvSE.exe. Hoy en día, el cliente habitual es Get-CimInstance de PowerShell.

Por qué importa en una investigación

WMI es una herramienta de administración que también usan los atacantes. Además de responder a consultas, puede reaccionar a eventos mediante suscripciones de eventos permanentes: un filtro de eventos indica cuándo, un consumidor de eventos indica qué, y un enlace los vincula. Registrada una sola vez con derechos de administrador, una suscripción sobrevive a los reinicios y ejecuta su acción como SYSTEM. MITRE ATT&CK la clasifica como T1546.003.

Las evidencias se almacenan en el repositorio CIM, una base de datos binaria que las revisiones de tipo autoruns y muchas herramientas de triaje pasan por alto. Puede leerse sin conexión y conserva los objetos eliminados hasta que se reutiliza su espacio. Productos de administración como el cliente de ConfigMgr también almacenan datos en él, incluidas evidencias de ejecución.

Ejemplo

Una suscripción en tres objetos, tal como aparece en el ejemplo de WMI Parser (host ficticio FIN-WKS-07):

__EventFilter             fires about four minutes after each boot (uptime query)
CommandLineEventConsumer  C:\ProgramData\Intel\m64.exe -svc
__FilterToConsumerBinding links the two

Cada reinicio inicia m64.exe como SYSTEM, sin que intervenga ninguna clave Run, servicio ni tarea programada.

Términos relacionados

WMI Parser lee un repositorio WMI recopilado en el navegador, sin necesidad de instalar nada. Para la técnica de persistencia en profundidad, lea Persistencia WMI por suscripción de eventos, explicada.