Series
Investiguer une persistance WMI
4 posts in this series. Read them in order or jump to any one.
- Récupérer une persistance WMI supprimée dans OBJECTS.DATA
Pourquoi filtres, consommateurs et liaisons WMI supprimés subsistent dans OBJECTS.DATA : parcours d'index, carving, python-cim et PyWMIPersistenceFinder.
- SCM Event Log Consumer et BVTConsumer : légitimes ou non ?
Les deux abonnements WMI livrés avec Windows, SCM Event Log et BVTFilter/BVTConsumer : contenu attendu, innocuité et détournement de leurs noms.
- Checklist d'investigation d'une persistance WMI
Checklist pas à pas face à une persistance WMI : requêtes en direct, dépôt, événements 5860 et 5861, Sysmon 19-21, traces d'exécution et nettoyage sûr.
- SCCM RecentlyUsedApps : preuves d'exécution dans WMI
Lire CCM_RecentlyUsedApps dans le dépôt WMI : quels programmes chaque utilisateur a lancés, quand et combien de fois, y compris les anciennes copies d'OBJECTS.DATA.