Detecção de Persistência WMI

Quando Usar

• Ao procurar por persistência de assinatura de eventos WMI (MITRE ATT&CK T1546.003)
• Após detectar atividade WMI suspeita em telemetria de endpoint
• Durante a resposta a incidentes para identificar mecanismos de persistência do atacante
• Quando alertas do Sysmon são acionados nos IDs de Evento 19, 20 ou 21
• Durante exercícios de equipe roxa testando persistência baseada em WMI

Pré-requisitos

• Sysmon v6.1+ implantado com registro de eventos WMI ativado (IDs de Evento 19, 20, 21)
• Encaminhamento do Log de Eventos de Segurança do Windows configurado
• SIEM com dados do Sysmon ingeridos (Splunk, Elastic, Sentinel)
• Acesso ao PowerShell para enumeração WMI em endpoints
• Sysinternals Autoruns para revisão manual de assinaturas WMI

Fluxo de Trabalho

1. Coletar Telemetria: Analisar os IDs de Evento do Sysmon 19 (WmiEventFilter), 20 (WmiEventConsumer), 21 (WmiEventConsumerToFilter).
2. Identificar Consumers Suspeitos: Marcar os tipos CommandLineEventConsumer e ActiveScriptEventConsumer que executam código.
3. Analisar Filtros de Evento: Examinar as consultas WQL nos EventFilters para gatilhos de início de processo ou execução baseada em tempo.
4. Correlacionar Vinculações: Combinar FilterToConsumerBindings que ligam filtros suspeitos a consumers.
5. Verificar Locais de Persistência: Consultar os namespaces WMI root\subscription e root\default para assinaturas ativas.
6. Validar Descobertas: Cruzar com assinaturas WMI conhecidas e legítimas (SCCM, produtos antivírus).
7. Documentar e Remediar: Remover assinaturas maliciosas e atualizar regras de detecção.

Conceitos Chave

Ferramentas & Sistemas

Formato de Saída

Hunt ID: TH-WMI-[DATE]-[SEQ]
Technique: T1546.003
Host: [Hostname]
Event Type: [EventFilter|EventConsumer|Binding]
Consumer Type: [CommandLine|ActiveScript]
WQL Query: [Filter query text]
Command: [Executed command or script]
Risk Level: [Critical/High/Medium/Low]
Recommended Action: [Remove subscription, investigate lateral movement]