Series
Investigar la persistencia WMI
4 posts in this series. Read them in order or jump to any one.
- Recuperar persistencia WMI eliminada de OBJECTS.DATA
Por qué los filtros, consumidores y enlaces WMI eliminados sobreviven en OBJECTS.DATA, índice frente a carving, y python-cim frente a PyWMIPersistenceFinder.
- SCM Event Log Consumer y BVTConsumer: ¿benignos o no?
Las dos suscripciones WMI que incluye Windows, SCM Event Log y BVTFilter/BVTConsumer: qué contienen, por qué son inofensivas y cómo se abusa de sus nombres.
- Persistencia WMI: checklist de respuesta a incidentes
Checklist paso a paso para la persistencia WMI: consultas en vivo, el repositorio, eventos 5860 y 5861, Sysmon 19-21, evidencias de ejecución y limpieza segura.
- SCCM RecentlyUsedApps: evidencia de ejecución en WMI
Leer CCM_RecentlyUsedApps del repositorio WMI: qué programas ejecutó cada usuario, cuándo y cuántas veces, incluidas copias antiguas de OBJECTS.DATA.