Series
Fundamentos del repositorio WMI
3 posts in this series. Read them in order or jump to any one.
- Persistencia WMI por suscripción de eventos, explicada
Cómo funciona la persistencia WMI: __EventFilter, consumidores de eventos y __FilterToConsumerBinding, dónde se almacenan y cómo encontrarlos.
- Dentro de OBJECTS.DATA: análisis forense del repositorio WMI
Cómo almacena objetos el repositorio CIM de WMI: páginas de OBJECTS.DATA, claves de INDEX.BTR, los tres archivos MAPPING, clases, instancias y hashes.
- Cómo recopilar el repositorio WMI para análisis forense
Dónde está el repositorio WMI y cómo copiar OBJECTS.DATA, INDEX.BTR y los archivos MAPPING de forma segura: instantánea, KAPE, Velociraptor o imagen.