WMI-Event-Subscription-Persistenz.

Persistenztechnik, die einen permanenten WMI-Event-Filter und -Consumer registriert, sodass Angreifercode bei einem definierten Systemereignis ausgeführt wird. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Persistenztechnik, die einen permanenten WMI-Event-Filter und -Consumer registriert, sodass Angreifercode bei einem definierten Systemereignis ausgeführt wird.

WMI-Event-Subscription-Persistenz (MITRE ATT&CK T1546.003) missbraucht Windows Management Instrumentation: Erstellt werden ein __EventFilter (WQL-Abfrage als Triggerbedingung), ein __EventConsumer (die Aktion, meist CommandLineEventConsumer oder ActiveScriptEventConsumer) sowie ein __FilterToConsumerBinding. Im Namespace root\subscription gespeichert, führt der WMI-Dienst den Consumer im SYSTEM-Kontext aus, sobald der Filter zutrifft – beim Logon, per Timer, bei Prozessstart, beim Einstecken eines USB-Sticks usw. Die Technik ist fileless, übersteht Neustarts und wird von versierten Angreifern intensiv genutzt. Detektion: WMI-Activity Operational/Trace aktivieren, Sysmon 19/20/21 überwachen, Subscriptions baselinen. Härtung: WMI-Namespace-Rechte einschränken, ASR-Regeln nutzen.

Schutzmaßnahmen gegen WMI-Event-Subscription-Persistenz kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Permanente WMI-Subscription, Permanente Event-Subscription.