WMI-Persistenz ohne Run-Keys erkennen: T1546.003 — Akuity SOC

In zielgerichteten Angriffen ist die Aufrechterhaltung des Zugriffs ohne verdächtige Dateisystem-Modifikationen die Königsdisziplin. Während moderne EDR-Lösungen Autostart-Einträge (ASEPs wie HKLM\Software\Microsoft\Windows\CurrentVersion\Run) und Windows-Aufgaben (schtasks) rigoros überwachen, bietet die Technik MITRE ATT&CK T1546.003 (WMI Event Subscription) einen asynchronen Persistenzvektor, der völlig ohne klassische Registrierungsschlüssel auskommt.

Anatomie des Angriffs: Die WMI-Persistenz-Triade

Die Windows Management Instrumentation (WMI) dient der Systemüberwachung. Angreifer missbrauchen diesen Dienst, indem sie drei verknüpfte Klassen im Namensraum root\subscription registrieren:

• __EventFilter: Eine WQL-Abfrage (WMI Query Language), die auf Betriebssystem-Ereignisse wartet (z. B. Systemlaufzeit mittels SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System' AND TargetInstance.SystemUpTime >= 300, Benutzeranmeldungen oder Hardware-Events).
• __EventConsumer: Die auszuführende Aktion. Angreifer nutzen meist CommandLineEventConsumer (Ausführung von PowerShell, MSHTA oder CMD) oder ActiveScriptEventConsumer (direkte In-Memory-Ausführung von VBScript/JScript).
• __FilterToConsumerBinding: Das relationale Bindeglied, das den Filter mit dem Consumer verknüpft.

Sobald diese Verknüpfung in der WMI-Repository-Datenbank (%SystemRoot%\System32\wbem\Repository\OBJECTS.DATA) abgelegt ist, wird der Schadcode unter dem privilegierten Konto NT AUTHORITY\SYSTEM über WmiPrvSE.exe oder svchost.exe gestartet – ohne dass permanente Executables auf der Festplatte verbleiben.

Der tote Winkel nativer Endpunktsicherheit

Obwohl Microsoft Defender for Endpoint die Erzeugung von Subprozessen durch den WMI Provider Host erfasst, erfolgt die rein verhaltensbasierte Erkennung oft zu spät. Die Erstellung der WMI-Abonnements über CIM-Cmdlets (New-CimInstance), wmic.exe oder MOF-Dateien (mofcomp.exe) geht häufig im Rauschen legitimer Management-Tools (z. B. Dell, Lenovo, SCCM) unter.

KQL-Erkennung in Defender for Endpoint

Die folgende Advanced Hunting KQL-Abfrage analysiert die Tabelle DeviceEvents, extrahiert die auszuführende Payload aus den JSON-Metadaten und filtert gängige administrative Fehlalarme heraus:

DeviceEvents
| where ActionType in ("WmiBindEvent", "WmiEventConsumerTriggered")
| extend EvtData = parse_json(AdditionalFields)
| extend ConsumerPath = tostring(EvtData.Consumer),
         FilterQuery  = tostring(EvtData.Filter),
         WmiNamespace = coalesce(tostring(EvtData.Namespace), @"root\subscription")
| extend ConsumerType = case(
    ConsumerPath has "CommandLineEventConsumer", "CommandLine",
    ConsumerPath has "ActiveScriptEventConsumer", "ActiveScript", "Other")
| extend TargetPayload = extract(@"CommandLineTemplate\s*=\s*""([^"]+)""", 1, ConsumerPath)
| where not(ConsumerPath has_any ("CCMExec", "DellSystemDetect", "Lenovo", "SCX", "BcastDVR"))
| project Timestamp, DeviceId, DeviceName, ConsumerType, TargetPayload,
          FilterQuery, ConsumerPath, WmiNamespace, InitiatingProcessAccountName, InitiatingProcessCommandLine
| sort by Timestamp desc

SOAR-Remediation mit Akuity SOC

Wird eine bösartige WMI-Subscription identifiziert, schützt nur eine sofortige Incident Response vor weiteren Lateral-Movement-Phasen:

• KI-gestützte In-App-Korrelation: Der native KI-Assistent von Akuity SOC korreliert KQL-Telemetrie im Hintergrund und deobfuskieren CIM-Payloads in unter 2 Sekunden – ohne Datenexport an ungesicherte Drittanbieter.
• Präzise 1-Klick-SOAR-Abwehr: Sofortige Ausführung von isolateDevice() und quickScanDevice() über Defender-APIs. Die Netzwerkisolation hält die Live-Response-Sitzung gezielt aktiv, sodass SecOps-Teams bösartige WMI-Bindings sofort bereinigen können.
• Zero-Trust-Governance: Privilegiertes Löschen im WMI-Namensraum erfordert eine AAL2-konforme MFA-Bestätigung. Alle Aktionen werden unveränderlich protokolliert (NIS-2- und SOC-2-Type-II-konform).

Technisches Mini-FAQ

Wie wird eine bösartige WMI-Subscription via Live Response entfernt?

Führen Sie in einer Defender for Endpoint Live-Response-Sitzung folgende PowerShell-Befehle aus:
Get-CimInstance -Namespace root\subscription -ClassName __FilterToConsumerBinding | Where-Object { $_.Filter.Name -eq 'BöserFilter' } | Remove-CimInstance. Entfernen Sie anschließend die verknüpften Instanzen von __EventConsumer und __EventFilter.

Warum schlagen herkömmliche Registry-Scanner bei dieser Technik fehl?

WMI-Subscriptions erzeugen keine Registry-Werte in den Pfaden Run oder RunOnce. Alle Definitionen werden direkt im proprietären Binärformat des WMI-Repositories (OBJECTS.DATA) abgelegt, wodurch reine Registry-Monitore den Persistenzvektor nicht erfassen können.