Investigando persistência via WMI Permanent Event Subscription
O Forensic Focus publicou um guia prático sobre como atacantes usam assinaturas permanentes de eventos WMI, em especial o consumidor ActiveScriptEventConsumer, para manter persistência furtiva em sistemas Windows comprometidos. O artigo percorre o ciclo completo: registro da assinatura, disparo e execução do código malicioso, artefatos deixados em disco e memória, detecção via regras Sigma e remoção segura durante a resposta a incidente.
Fonte ↗