WMI Kalıcı Olay Aboneliği: Adli Bilişim Açısından Nasıl İncelenir?

Windows Management Instrumentation (WMI) üzerinden kurulan kalıcı olay abonelikleri, saldırganların sisteme geri dönüş kapısı (backdoor) bırakmasının en etkili yollarından biri. ActiveScriptEventConsumer kullanarak, bir saldırgan kötü amaçlı kod çalıştırabilir ve bu işlem normal sistem aktivitesi içinde gizlenebilir.

Vitalii'nin ForensicFocus'taki çalışması, bu kalıcılık mekanizmasının kaydından yürütülüşüne kadar adım adım nasıl işlediğini gösteriyor. Temel olarak, WMI kütüphanesi içinde bir EventFilter ve EventConsumer nesnesi oluşturulur; sistem her açıldığında ya da belirli bir koşul tetiklendiğinde otomatik olarak çalışır.

Adli inceleme açısından en önemli ipuçları bellek dump'larında ve WMI deposunda bulunur. Registry'de HKLM\Software\Classes\CLSID altında ActiveScriptEventConsumer kaydı, WMI CIM deposundaki.mof dosyaları (C:\Windows\System32\wbem\Repository) ve Event Viewer günlükleri, saldırganın izini ortaya çıkarır. Sigma kuralları sayesinde bu şüpheli WMI aktiviteleri otomatik olarak tespit edilebilir.

Temizlik aşamasında ise saldırganın kalıntılarını kaldırmak için WMI nesnelerini silmek, ilgili Registry anahtarlarını temizlemek ve sistem günlüklerini yönetmek gerekir. Fakat adli bir incelemede, silinen nesneler bile bellek artefaktları ve unallocated alanlar aracılığıyla kurtarılabilir.

Bu tür saldırıları anlamak, bir sistem yöneticisinin ya da siber güvenlik uzmanının cephaneliğinde bulunması gereken bilgidir. WMI kalıcılığı tespit edebilmek, kurumsal ağlarda gizli tehditler bulmanın anahtarı.