🚀برای کشف سوءاستفاده از WMI، مهم‌ترین نکته دیدن زنجیره رفتار است، نه صرفاً مشاهده wmiprvse.exe؛ چون این پردازش کاملاً قانونی است.


WMI Activity Log
5857–5861

مشاهده عملیات، Providerها و Subscriptionهای WMI


Windows Security
4688
ایجاد پردازش و Command Line


Sysmon
1
مشاهده درخت پردازش


Sysmon
19, 20, 21
کشف ماندگاری از طریق WMI Subscription


Authentication
4624, 4625, 4648, 4672
ورود شبکه‌ای و استفاده از اعتبارنامه


Network
RPC 135، پورت‌های Dynamic RPC و گاهی SMB 445
شناسایی ارتباط WMI از راه دور


PowerShell
4103, 4104
مشاهده اسکریپت یا فرمان PowerShell اجراشده


File/Share
Sysmon 11 و Security 5140/5145
مشاهده انتقال یا ایجاد Payload


👌لاگ اختصاصی WMI باید از مسیر زیر جمع‌آوری شود:
Microsoft-Windows-WMI-Activity/Operational


⛱یعنی WmiPrvSE.exe که معمولاً پردازش‌های مشکوکی ایجاد نمی‌کند، ناگهان والد برنامه‌هایی مانند موارد زیر شود:
cmd.exe
powershell.exe
rundll32.exe
regsvr32.exe
certutil.exe
mshta.exe
wscript.exe
cscript.exe


🎇سناریوی همبستگی پیشنهادی

اگر این رویدادها نزدیک به هم دیده شدند، احتمال حرکت جانبی با WMI افزایش می‌یابد:
اتصال یک سیستم غیرمدیریتی به مقصد روی پورت 135
ثبت 4624 با Logon Type 3 روی مقصد
ایجاد پردازش با والد wmiprvse.exe
اجرای cmd.exe یا powershell.exe
ایجاد فایل، برقراری ارتباط خارجی یا اجرای Payload



🕹کشف ماندگاری WMI

مهاجم می‌تواند WMI را طوری تنظیم کند که مثلاً هنگام روشن‌شدن سیستم یا وقوع یک رویداد، Payload اجرا شود. برای کشف آن، این سه رویداد Sysmon بسیار مهم‌اند:

Event ID 19:
ایجاد WMI Event Filter؛ تعیین می‌کند چه زمانی اجرا شود.
Event ID 20:
ایجاد Event Consumer؛ تعیین می‌کند چه چیزی اجرا شود.
Event ID 21:
اتصال Filter به Consumer


🚦 انجام کارگاه و آزمایش و تحلیل لاگ در اسپلانک