基于Windows WMI持久化事件消费者（WMI Permanent Event Consumer）的无文件攻击与防护

1. WMI事件消费者基础概念
   WMI（Windows Management Instrumentation）是Windows系统管理和操作的核心组件。其事件系统允许管理员监控系统状态变化（如进程创建、文件修改、注册表更改等）。事件消费者是响应这些事件的组件，分为临时和持久两种。临时事件消费者仅在订阅期间存在（如一个运行的PowerShell脚本）；而持久事件消费者会在WMI仓库（CIM数据库）中创建一个永久性注册，其消费者组件通常是一个可执行文件、脚本或COM对象。系统会在触发对应事件时，自动激活该消费者，无需用户交互，这使得它成为持久化驻留的理想载体。

2. 攻击原理：滥用持久化事件消费者
   攻击者利用WMI的**__EventFilter**（定义触发条件）、__EventConsumer（定义要执行的操作）和**__FilterToConsumerBinding**（将两者绑定）这三个核心类来构造一个隐蔽的后门。例如，可以创建一个在特定时间（如每天凌晨）触发的__EventFilter，并将其绑定到一个ActiveScriptEventConsumer（执行VBScript/JScript）或CommandLineEventConsumer（执行命令行）。攻击者可以将恶意脚本代码（如PowerShell下载指令）直接写入消费者的ScriptText属性，或将恶意负载托管在远程服务器，通过命令行消费者下载执行。由于这些配置以类的形式存储于WMI仓库（%SystemRoot%\System32\wbem\Repository\），不依赖磁盘上的文件，且能通过WMI的远程协议（DCOM）进行部署和触发，因此构成了典型的“无文件攻击”。

3. 具体攻击手法与步骤

   • 信息收集：攻击者首先通过Get-WmiObject或wmic枚举现有的事件订阅，寻找可利用的上下文。
   • 创建过滤器：使用$Filter=Set-WmiInstance创建__EventFilter实例，其Query属性可设置为类似SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System' AND TargetInstance.SystemUpTime >= 300的WQL查询，表示在系统启动5分钟后触发。
   • 创建消费者：创建ActiveScriptEventConsumer实例，在ScriptText属性中填入Base64编码的PowerShell payload，或创建CommandLineEventConsumer实例，在CommandLineTemplate属性中填入如powershell -enc <encoded_command>的命令。
   • 绑定：创建__FilterToConsumerBinding实例，将上述过滤器和消费者的对象路径（__PATH属性）进行关联。绑定完成后，只要系统满足触发条件，恶意代码就会自动执行，并随着WMI服务（Winmgmt）的启动而恢复持久性。

4. 检测与防御方法

   • 检测：
     • 日志分析：监控Windows安全事件日志4688（进程创建），查找父进程为WmiPrvSE.exe的异常进程（如powershell、cmd、rundll32）。同时，启用并审计WMI-Activity操作日志，关注事件ID 5857（筛选器绑定活动）、5860（消费者活动）和5861（消费者交付活动）。
     • 命令行工具：定期使用Get-WmiObject __EventFilter、Get-WmiObject __EventConsumer、Get-WmiObject __FilterToConsumerBinding命令（或相应的PowerShell CIM cmdlet）枚举所有持久化订阅，检查其Query、ScriptText、CommandLineTemplate等属性中是否存在可疑内容。
     • 内存与仓库分析：使用专业工具（如WMI Explorer、Autoruns）检查WMI仓库。由于仓库部分内容会映射到内存，内存取证工具可提取WMI活动痕迹。
   • 防御：
     • 最小权限原则：严格限制用户对WMI命名空间（尤其是root\subscription）的写入权限。普通用户不应拥有对WMI类的远程或本地管理权限。
     • 禁用或监控：在非必要环境中，可通过组策略限制或禁用WMI服务（Winmgmt）的远程访问，或禁用特定的事件消费者类。部署EDR/EPP解决方案，对由WmiPrvSE.exe生成的进程链进行行为监控和拦截。
     • 主动清除：发现恶意订阅后，需使用WMI命令或脚本（Get-WmiObject ... | Remove-WmiObject）将对应的过滤器、消费者及绑定对象全部删除，才能彻底清除持久化机制。