WMI Persistence

Définition

La persistance WMI (WMI Persistence) est une technique permettant à un attaquant ayant compromis un système Windows, y compris un contrôleur de domaine, de maintenir un accès durable et furtif en exploitant l'infrastructure Windows Management Instrumentation, un composant natif du système d'exploitation rarement surveillé en profondeur par les équipes de sécurité. Le mécanisme repose sur la création d'un abonnement d'événement permanent WMI (Permanent Event Subscription), composé de trois éléments : un Event Filter, définissant la condition déclenchante exprimée en langage WQL, comme le démarrage du système ou une heure précise ; un Event Consumer, définissant l'action à exécuter, typiquement le lancement d'un script PowerShell encodé ou d'un exécutable malveillant ; et un binding liant les deux éléments. Cette configuration persiste au niveau du dépôt WMI local, survit aux redémarrages du système, et échappe aux méthodes de détection classiques centrées sur les clés de registre Run, les tâches planifiées ou les services Windows, ce qui en fait une technique privilégiée dans les campagnes APT sophistiquées, notamment sur les contrôleurs de domaine où elle permet une réexécution de code à chaque redémarrage sans laisser de trace dans les emplacements de persistance habituels. Référencée sous MITRE ATT&CK T1546.003, sa détection nécessite des outils spécialisés comme Sysmon avec les événements WmiEvent, ou des scripts d'audit dédiés interrogeant directement le dépôt WMI (Get-WmiObject -Namespace root\subscription).