🤒 WMI-персистентность | Windows сама запускает чужой код и стандартный аудит это не ув... — 11 сентября 2026 г. в 11:05:37.369
🤒 WMI-персистентность | Windows сама запускает чужой код и стандартный аудит это не увидит WMI-подписки – это когда атакующий говорит Windows: «Когда произойдёт событие X запусти вот этот код»: вход пользователя, запуск системы, изменение файла и Windows честно выполняет обещание, даже если автор этой подписки давно ушёл из сети. Никакого файла в автозапуске, никакой записи в реестре Run-ключей всё хранится в собственной базе данных WMI, куда стандартные антивирусы и аудиторы просто не смотрят. Именно поэтому WMI-закрепление используют APT-группы: оно переживает перезагрузку, смену пользователя и даже часть защитных инструментов. Детект строится не на сигнатурах, а на мониторинге самого WMI: Sysmon Event ID 19, 20, 21 фиксируют создание фильтров, потребителей и привязок – именно эта тройка и есть признак вредоносной подписки. 🎤 Чтиво #WMIPersistence #RedTeam #ThreatHunting / White Hat / max.ru/kind_hack