Caçando Persistência via Assinaturas WMI

Quando Usar

• Ao procurar proativamente por mecanismos de persistência sem arquivos em ambientes Windows
• Após relatórios de inteligência de ameaças indicarem persistência baseada em WMI por grupos APT (APT29, APT32, FIN8)
• Ao investigar sistemas onde malware persiste após reinicializações, apesar de tentativas de limpeza
• Durante a resposta a incidentes quando locais de persistência padrão (chaves Run, tarefas agendadas) estão limpos
• Quando WmiPrvSe.exe é observado gerando processos filhos inesperados

Pré-requisitos

• Sysmon Event ID 19, 20, 21 (WMI Event Filter/Consumer/Binding) habilitado
• Windows Event ID 5861 (logging de atividade WMI) de Microsoft-Windows-WMI-Activity
• Logging de PowerShell habilitado (Script Block Logging, Module Logging)
• Acesso ao repositório WMI para enumeração
• Plataforma SIEM para correlação de eventos

Fluxo de Trabalho

1. Enumerar Assinaturas WMI Existentes: Consultar todas as assinaturas de eventos WMI permanentes nos sistemas alvo. Um sistema limpo geralmente tem pouquíssimas ou nenhuma assinatura permanente, tornando anomalias fáceis de detectar.
2. Monitorar Criação de Eventos WMI (Sysmon 19/20/21): Sysmon Event 19 captura atividade WmiEventFilter, Event 20 captura atividade WmiEventConsumer e Event 21 captura ligação WmiEventConsumerToFilter.
3. Analisar Tipos de Consumidores: Focar em ActiveScriptEventConsumer (executa VBScript/JScript) e CommandLineEventConsumer (executa comandos) - estes são os tipos perigosos usados para persistência.
4. Verificar Gatilhos de Event Filter: Examinar o que dispara a assinatura. Gatilhos maliciosos comuns incluem inicialização do sistema (Win32_ProcessStartTrace), logon de usuário ou intervalos de execução baseados em timer.
5. Investigar Processos Filhos de WmiPrvSe.exe: Quando uma assinatura WMI é acionada, a ação é executada por WmiPrvSe.exe. Procure por processos filhos incomuns de WmiPrvSe.exe.
6. Correlacionar com Compilação de MOF: Detectar o uso de mofcomp.exe que compila arquivos MOF para criar assinaturas WMI programaticamente.
7. Validar e Responder: Confirmar assinaturas maliciosas, removê-las e rastrear o vetor de infecção inicial.

Conceitos Chave

Consultas de Detecção

Splunk -- Criação de Assinatura WMI via Sysmon

index=sysmon (EventCode=19 OR EventCode=20 OR EventCode=21)
| eval event_type=case(EventCode=19, "EventFilter", EventCode=20, "EventConsumer", EventCode=21, "FilterToConsumerBinding")
| table _time Computer User event_type EventNamespace Name Query Destination Operation

Splunk -- Assinatura WMI via Windows Event 5861

index=wineventlog source="Microsoft-Windows-WMI-Activity/Operational" EventCode=5861
| table _time Computer NamespaceName Operation PossibleCause

PowerShell -- Enumerar Assinaturas WMI

Get-WmiObject -Namespace root\subscription -Class __EventFilter
Get-WmiObject -Namespace root\subscription -Class __EventConsumer
Get-WmiObject -Namespace root\subscription -Class __FilterToConsumerBinding

KQL -- WmiPrvSe.exe Gerando Filhos Suspeitos

DeviceProcessEvents
| where Timestamp > ago(7d)
| where InitiatingProcessFileName =~ "wmiprvse.exe"
| where FileName in~ ("cmd.exe", "powershell.exe", "wscript.exe", "cscript.exe", "mshta.exe", "rundll32.exe")
| project Timestamp, DeviceName, FileName, ProcessCommandLine

Regra Sigma

title: WMI Event Subscription Persistence
status: stable
logsource:
    product: windows
    category: wmi_event
detection:
    selection_consumer:
        EventID: 20
        Destination|contains:
            - 'ActiveScriptEventConsumer'
            - 'CommandLineEventConsumer'
    condition: selection_consumer
level: high
tags:
    - attack.persistence
    - attack.t1546.003

Cenários Comuns

1. Persistência WMI do APT29: Cria um ActiveScriptEventConsumer que executa um backdoor VBScript na inicialização do sistema, sobrevivendo a reinicializações e redefinições de credenciais.

…