T1546.003: Windows Management Instrumentation 事件订阅

摘要

攻击者可能通过执行由 Windows Management Instrumentation（WMI）事件订阅触发的恶意内容来建立持久化和提升权限。WMI 可用于安装事件筛选器、提供程序、使用者和绑定，它们在定义的事件发生时执行代码。可能被订阅的事件示例包括挂钟时间、用户登录或计算机的正常运行时间。(Citation: Mandiant M-Trends 2015) 攻击者可能利用 WMI 的功能订阅事件并在该事件发生时执行任意代码，从而在系统上提供持久化。(Citation: FireEye WMI SANS 2015)(Citation: FireEye WMI 2015) 攻击者还可能使用 `mofcomp.exe` 将 WMI 脚本编译为 Windows Management Object（MOF）文件（.mof 扩展名），可用于创建恶意订阅。(Citation: Dell WMI Persistence)(Citation: Microsoft MOF May 2018) WMI 订阅执行由 WMI Provider Host 进程（WmiPrvSe.exe）代理，因此可能导致提升的 SYSTEM 权限。