Persistencia por suscripción a eventos WMI
¿Qué es Persistencia por suscripción a eventos WMI?
Persistencia por suscripción a eventos WMITécnica de persistencia que registra un filtro y un consumidor permanentes de eventos WMI para que el código del atacante se ejecute cuando ocurra un evento del sistema.
La persistencia por eventos WMI (MITRE ATT&CK T1546.003) abusa de Windows Management Instrumentation creando un __EventFilter (consulta WQL con la condición de disparo), un __EventConsumer (la acción, típicamente CommandLineEventConsumer o ActiveScriptEventConsumer) y un __FilterToConsumerBinding que los enlaza. Una vez escrita en el namespace root\subscription, el servicio WMI ejecuta el consumidor en contexto SYSTEM cada vez que se cumple el filtro: al iniciar sesión, por temporizador, al arrancar un proceso, al insertar un USB, etc. Es una técnica sin fichero, persistente tras reinicio y muy usada por actores avanzados. Detección: habilitar WMI-Activity Operational/Trace, monitorizar Sysmon 19/20/21, hacer baseline de suscripciones. Endurecimiento: restringir permisos del namespace WMI y aplicar reglas ASR.
● Ejemplos
- 01
Un CommandLineEventConsumer que lanza PowerShell cuando el uptime supera 200 segundos tras el arranque.
- 02
Un ActiveScriptEventConsumer que ejecuta VBScript malicioso cada cinco minutos.
● Preguntas frecuentes
¿Qué es Persistencia por suscripción a eventos WMI?
Técnica de persistencia que registra un filtro y un consumidor permanentes de eventos WMI para que el código del atacante se ejecute cuando ocurra un evento del sistema. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.
¿Qué significa Persistencia por suscripción a eventos WMI?
Técnica de persistencia que registra un filtro y un consumidor permanentes de eventos WMI para que el código del atacante se ejecute cuando ocurra un evento del sistema.
¿Cómo funciona Persistencia por suscripción a eventos WMI?
La persistencia por eventos WMI (MITRE ATT&CK T1546.003) abusa de Windows Management Instrumentation creando un __EventFilter (consulta WQL con la condición de disparo), un __EventConsumer (la acción, típicamente CommandLineEventConsumer o ActiveScriptEventConsumer) y un __FilterToConsumerBinding que los enlaza. Una vez escrita en el namespace root\subscription, el servicio WMI ejecuta el consumidor en contexto SYSTEM cada vez que se cumple el filtro: al iniciar sesión, por temporizador, al arrancar un proceso, al insertar un USB, etc. Es una técnica sin fichero, persistente tras reinicio y muy usada por actores avanzados. Detección: habilitar WMI-Activity Operational/Trace, monitorizar Sysmon 19/20/21, hacer baseline de suscripciones. Endurecimiento: restringir permisos del namespace WMI y aplicar reglas ASR.
¿Cómo defenderse de Persistencia por suscripción a eventos WMI?
Las defensas contra Persistencia por suscripción a eventos WMI combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Persistencia por suscripción a eventos WMI?
Nombres alternativos comunes: Suscripción WMI permanente, Suscripción permanente a eventos.
● Términos relacionados
- attacks№ 975
Persistencia por tarea programada
Técnica de persistencia y ejecución en la que el atacante crea o modifica una tarea programada de Windows para ejecutar su payload por inicio de sesión, arranque o temporizador.
- attacks№ 914
Persistencia por clave Run del registro
Técnica clásica de persistencia en Windows que añade una entrada en una clave Run o RunOnce del registro para ejecutar un binario o script cada vez que el usuario inicia sesión.
- attacks№ 200
Secuestro COM
Técnica de persistencia que redirige la búsqueda de un CLSID del Component Object Model de Windows hacia código del atacante, ejecutándolo cuando un proceso instancia ese objeto.
- attacks№ 515
Inyección IFEO
Técnica de persistencia y escalada de privilegios que abusa de la clave Image File Execution Options del registro de Windows para ejecutar código cuando se inicia un ejecutable objetivo.
- attacks№ 054
AppInit_DLLs
Técnica heredada de persistencia en Windows que abusa de un valor del registro para que una DLL determinada se cargue en todo proceso de usuario que enlace user32.dll.