Caçando Movimentação Lateral via WMI

Visão Geral

O Windows Management Instrumentation (WMI) é comumente abusado para movimentação lateral via wmic process call create ou Win32_Process.Create() para executar comandos em hosts remotos. A detecção foca em identificar o WmiPrvSE.exe gerando processos filhos (cmd.exe, powershell.exe) nos logs do Windows Security Event ID 4688 e Sysmon Event ID 1, juntamente com eventos WMI-Activity/Operational (5857, 5860, 5861) para persistência de assinatura de eventos.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por movimentação lateral via WMI.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Logs de Segurança do Windows com auditoria de Criação de Processos habilitada (Evento 4688 com linha de comando).
• Sysmon instalado com Event ID 1 (Criação de Processos) configurado.
• Python 3.9+ com as bibliotecas python-evtx e lxml.
• Compreensão da arquitetura WMI e do comportamento do WmiPrvSE.exe.

Passos

Passo 1: Analisar Eventos de Criação de Processos

Extrair entradas do Event ID 4688 e Sysmon Event 1 de arquivos EVTX.

Passo 2: Detectar Processos Filhos do WmiPrvSE

Marcar processos onde ParentImage/ParentProcessName é WmiPrvSE.exe, indicando execução remota WMI.

Passo 3: Analisar Padrões de Linha de Comando

Identificar linhas de comando suspeitas que correspondam a padrões de movimentação lateral WMI (cmd.exe /q /c, redirecionamento de saída para o compartilhamento admin$).

Passo 4: Verificar Assinaturas de Eventos WMI

Analisar o log WMI-Activity/Operational em busca de criação de consumidores de eventos indicando persistência.

Saída Esperada

Relatório JSON com processos gerados pelo WMI, linhas de comando suspeitas, alertas de assinatura de eventos WMI e linha do tempo de atividade de movimentação lateral.