Digest da Forensic Focus reúne persistência via WMI, nova versão do MD-RED e bastidores do Amped FIVE
A edição semanal da Forensic Focus traz um artigo técnico sobre persistência por WMI Permanent Event Subscription (ActiveScriptEventConsumer), do registro à execução e artefatos de memória, com regras Sigma para detecção. Também destaca a versão 4 do MD-RED, com análise de mídia por IA e varredura de malware em forense móvel, e um episódio de podcast sobre o desenvolvimento do Amped FIVE.
O item de maior interesse investigativo da digest é o artigo sobre persistência via WMI Permanent Event Subscription usando um ActiveScriptEventConsumer. Essa técnica é clássica em pentests e em intrusões reais porque o subsistema WMI roda com privilégios elevados e sobrevive a reinicializações, permitindo que um script VBScript ou JScript seja disparado por um filtro de evento (por exemplo, logon de usuário ou intervalo de tempo) sem depender de uma chave Run tradicional no registro, que é o primeiro lugar que um analista costuma checar.
Tecnicamente, a cadeia de persistência fica registrada no repositório WMI (arquivo OBJECTS.DATA dentro de C:\Windows\System32\wbem\Repository), que guarda as definições de EventFilter, EventConsumer e FilterToConsumerBinding. O artigo descrito na digest percorre justamente essa trilha: como extrair e interpretar essas classes durante a aquisição, como o script do consumer pode deixar artefatos de execução na memória (processos scrcons.exe ou wmiprvse.exe hospedando o interpretador de script) e como regras Sigma podem ser escritas para sinalizar criação ou modificação suspeita dessas assinaturas via logs do Event Tracing for Windows (ETW) ou do Sysmon.
O MD-RED v4, mencionado como ferramenta de forense móvel, ilustra uma tendência prática do setor: o volume de evidência em smartphones (mídia, chats, metadados de chamadas) cresceu a ponto de exigir triagem assistida por IA só para tornar a perícia viável em prazos razoáveis. Funcionalidades como correlação de CDR (Call Detail Records) com conteúdo de mensageiros de desktop ajudam o examinador a montar linha do tempo cruzando fontes que normalmente ficariam isoladas em ferramentas separadas.
Na prática, para quem atua em resposta a incidentes ou pericia, o ponto que mais vale levar desta digest é a técnica de persistência WMI: é um vetor que escapa de varreduras superficiais de autorun e que, documentado com as regras Sigma certas, melhora bastante a cobertura de detecção em triagem de endpoint comprometido.