WMI Subscription

Définition

Les abonnements aux événements WMI (Windows Management Instrumentation Event Subscription) constituent un mécanisme de persistance avancé et difficile à détecter sur Windows. WMI est l'infrastructure de gestion des systèmes Windows qui permet de surveiller et de répondre à des événements système. Les attaquants exploitent cette fonctionnalité légitime pour créer des déclencheurs d'exécution de code persistant. Un abonnement WMI se compose de trois éléments : un Event Filter (définit l'événement déclencheur : démarrage du système, connexion d'un utilisateur, exécution d'un processus spécifique, événement temporel), un Event Consumer (définit l'action à effectuer lors du déclenchement : exécution d'un script ou d'un exécutable, ou manipulation de logs via LogFileEventConsumer), et un FilterToConsumerBinding (lie le filter au consumer). L'avantage principal des abonnements WMI pour la persistance est leur invisibilité : ils ne créent pas d'entrées dans les Run Keys, ne créent pas de services, ne modifient pas les tâches planifiées visibles, et sont stockés dans les dépôts WMI (fichiers .mof dans C:\Windows\System32\wbem\) qui ne sont généralement pas surveillés par les outils d'analyse traditionnels. La création d'un abonnement WMI malveillant via PowerShell nécessite environ 10 lignes de code et des droits d'administrateur. Metasploit, Empire, et de nombreux frameworks d'attaque incluent des modules pour déployer des abonnements WMI persistants. Certains APT comme APT29 (Cozy Bear) ont utilisé cette technique pour maintenir un accès très discret pendant des mois. La détection des abonnements WMI malveillants est complexe mais possible : les enregistrements de création d'abonnements apparaissent dans les logs WMI Activity Operational (Microsoft-Windows-WMI-Activity/Operational), et des outils comme WMI_Forensics, Autoruns (avec l'onglet WMI), et les plateformes EDR modernes surveillent ce vecteur.