Glossaire
WMI (Windows Management Instrumentation)
La couche d'administration de Windows : elle expose le système sous forme de classes et d'instances, répond aux requêtes WQL et réagit aux événements.
Windows Management Instrumentation est l'implémentation par Microsoft des standards CIM et WBEM du DMTF, intégrée à toutes les versions modernes de Windows. Elle expose le système (processus, services, disques, ouvertures de session, compteurs de performance, logiciels installés) sous forme de classes et d'instances organisées en espaces de noms, que les administrateurs et les programmes interrogent en WQL, localement ou à distance. Le service s'appelle Winmgmt ; les fournisseurs qui livrent les données en direct s'exécutent dans l'hôte des fournisseurs WMI, WmiPrvSE.exe. Le Get-CimInstance de PowerShell est aujourd'hui le client le plus courant.
Pourquoi c'est important en investigation
WMI est un outil d'administration que les attaquants utilisent aussi. Au-delà des requêtes, il peut réagir à des événements grâce aux abonnements permanents aux événements : un filtre d'événements dit quand, un consommateur d'événements dit quoi, et une liaison les relie. Enregistré une seule fois avec des droits administrateur, un abonnement survit aux redémarrages et exécute son action en tant que SYSTEM. MITRE ATT&CK référence cette technique sous T1546.003.
Les traces sont stockées dans le dépôt CIM, une base de données binaire que les revues de type autoruns et de nombreux outils de tri négligent. Il peut être lu hors ligne et conserve les objets supprimés jusqu'à ce que leur espace soit réutilisé. Des produits d'administration comme le client ConfigMgr y stockent aussi des données, notamment des preuves d'exécution.
Exemple
Un abonnement en trois objets, tel qu'on le trouve dans l'exemple de WMI Parser (hôte fictif FIN-WKS-07) :
__EventFilter fires about four minutes after each boot (uptime query)
CommandLineEventConsumer C:\ProgramData\Intel\m64.exe -svc
__FilterToConsumerBinding links the two
Chaque redémarrage lance m64.exe en tant que SYSTEM, sans clé Run, service ni tâche planifiée.
Termes associés
WMI Parser lit un dépôt WMI collecté directement dans le navigateur, sans rien à installer. Pour la technique de persistance en détail, lisez La persistance par abonnement aux événements WMI expliquée.