Что такое инструментарий управления Windows
Обновлено: 21.11.2024
Злоумышленник может использовать WMI для взаимодействия с локальными и удаленными системами и использовать его как средство выполнения различных действий, таких как сбор информации для обнаружения, а также удаленное выполнение файлов в рамках бокового перемещения. [3] [2]
Примеры процедур
Агент Тесла использовал запросы WMI для сбора информации из системы. [4]
APT29 использовал WMI для кражи учетных данных и запуска бэкдоров в будущем. [5] Они также использовали WMI для удаленного выполнения файлов для бокового перемещения. [6] [7]
APT32 использовала WMI для развертывания своих инструментов на удаленных компьютерах и сбора информации о процессе Outlook. [8]
APT41 использовал WMI несколькими способами, в том числе для выполнения команд через WMIEXEC, а также для сохранения данных через PowerSploit. [9] [10]
Astaroth использует WMIC для выполнения полезной нагрузки. [11]
Avaddon использует wmic.exe для удаления теневых копий. [12]
Bazar может выполнить запрос WMI для сбора информации об установленном антивирусном ядре. [13] [14]
Подключаемый модуль BlackEnergy 2 использует WMI для сбора сведений о хосте-жертве. [15]
Blue Mockingbird использовала wmic.exe для установки переменных среды. [16]
Chimera использует WMIC для выполнения удаленных команд. [17] [18]
Cobalt Strike может использовать WMI для доставки полезной нагрузки на удаленный хост. [19] [20]
CrackMapExec может выполнять удаленные команды с помощью инструментария управления Windows. [21]
DEATHRANSOM может использовать WMI для удаления теневых копий томов. [22]
Известно, что группа Deep Panda использует WMI для горизонтального перемещения. [23]
Дроппер DustySky использует инструментарий управления Windows для извлечения информации об операционной системе и активности антивируса. [24]
EKANS может использовать вызовы Windows Mangement Instrumentation (WMI) для выполнения операций. [25]
Emotet использовал WMI для запуска powershell.exe. [26]
Empire может использовать WMI для доставки полезной нагрузки на удаленный хост. [27]
EvilBunny использовал WMI для сбора информации о системе. [28]
EVILNUM использовал инструментарий управления Windows (WMI) для подсчета зараженных машин. [29]
FELIXROOT использует WMI для запросов к реестру Windows. [30]
FIN6 использует WMI для автоматизации удаленного выполнения сценариев PowerShell. [31]
FIN7 использовала WMI для установки вредоносных программ на целевые системы. [32]
Вредоносная полезная нагрузка целевого фишинга FIN8 использует WMI для запуска вредоносных программ и выполнения cmd.exe. FIN8 также использовала WMIC для бокового перемещения, а также во время действий по очистке от компрометации и после нее. [33] [34] [35]
FIVEHANDS может использовать WMI для удаления файлов на целевой машине. [22] [36]
FlawedAmmyy использует WMI для определения наличия антивируса на жертве. [37]
Франкенштейн использовал запросы WMI, чтобы проверить, запущены ли различные приложения безопасности, а также версию операционной системы. [38]
GALLIUM использовал WMI для выполнения, чтобы помочь в горизонтальном перемещении, а также для установки инструментов на несколько активов. [39]
GravityRAT собирает различную информацию с помощью запросов WMI, включая информацию о процессоре в записи Win32_Processor (идентификатор процессора, имя, производитель и тактовая частота). [40]
HALFBAKED может использовать запросы WMI для сбора системной информации. [41]
HELLOKITTY может использовать WMI для удаления теневых копий томов. [22]
HOPLIGHT использовала WMI для повторной компиляции файлов Managed Object Format (MOF) в репозитории WMI. [42]
IcedID использует WMI для выполнения двоичных файлов. [43]
Модуль wmiexec Impacket можно использовать для выполнения команд через WMI. [44]
Indrik Spider использовал WMIC для выполнения команд на удаленных компьютерах. [45]
jRAT использует WMIC для идентификации антивирусных продуктов, установленных на компьютере жертвы, и для получения сведений о брандмауэре. [46]
Казуар получает список запущенных процессов с помощью запросов WMI. [47]
Koadic может использовать WMI для выполнения команд. [48]
KOMPROGO может выполнять запросы WMI. [49]
Вредоносная программа Lazarus Group SierraAlfa использует приложение командной строки Windows Management Instrumentation wmic для запуска себя в целевой системе во время бокового перемещения. [50] [51]
Левиафан использовал WMI для выполнения. [52]
Lucifer может использовать WMI для входа на удаленные машины для распространения. [53]
Компания Maze использовала WMI, чтобы попытаться удалить теневые тома на машине и подключить виртуальную машину к сетевому домену сети организации-жертвы. [54] [55]
menuPass использует модифицированную версию сценария пентестинга wmiexec.vbs, который входит в удаленную машину с помощью WMI. [56] [57] [58]
Micropsia ищет антивирусное программное обеспечение и брандмауэры, установленные на компьютере жертвы, с помощью WMI. [59] [60]
MoleNet может выполнять команды WMI в системе. [61]
Установщик Mosquito использует WMI для поиска отображаемых имен антивирусов.[62]
MuddyWater использует вредоносное ПО, использующее WMI для выполнения и запроса информации о хосте. [63] [64] [65]
Mustang Panda выполняет сценарии PowerShell через WMI. [66] [67]
Naikon использовал WMIC.exe для бокового перемещения. [68]
Netwalker может использовать WMI для удаления теневых томов. [69]
NotPetya может использовать wmic для распространения по сети. [70] [71]
Octopus использует wmic.exe для локального обнаружения информации. [72]
OilRig использовала WMI для выполнения. [73]
Olympic Destroyer использует WMI для распространения по сети. [74]
OopsIE использует WMI для выполнения методов обнаружения. [75]
Операция Wocao использовала WMI для выполнения команд. [76]
PoshC2 имеет ряд модулей, которые используют WMI для выполнения задач. [77]
Модуль PowerSploit Invoke-WmiCommand CodeExecution использует WMI для выполнения и извлечения выходных данных из полезной нагрузки PowerShell. [78] [79]
POWERSTATS может использовать запросы WMI для получения данных со взломанных хостов. [80] [64]
POWRUNER может использовать WMI при сборе информации о жертве. [81]
ProLock может использовать WMIC для выполнения сценариев на целевых хостах. [82]
QakBot может выполнять запросы WMI для сбора информации. [83]
RATANKBA использует WMI для мониторинга процессов. [84] [85]
Remexi выполняет полученные команды с помощью wmic.exe (для команд WMI). [86]
REvil может использовать WMI для мониторинга и уничтожения определенных процессов, перечисленных в его файле конфигурации. [87] [88]
RogueRobin использует различные запросы WMI, чтобы проверить, выполняется ли образец в изолированной программной среде. [89] [90]
Команда Sandworm использовала VBScript для выполнения запросов WMI. [91]
SharpStage может использовать WMI для выполнения. [61] [92]
Sibot использует WMI для обнаружения сетевых подключений и конфигураций. Sibot также использовал класс Win32_Process для запуска вредоносной DLL. [93]
Вредоносная программа Stealth Falcon собирает системную информацию с помощью инструментария управления Windows (WMI). [94]
StoneDrill использует утилиту командной строки WMI (WMIC) для запуска задач. [95]
Stuxnet использовал WMI с токеном explorer.exe для выполнения на удаленном общем ресурсе. [96]
SUNBURST использовал запрос WMI Select * From Win32_SystemDriver для получения списка драйверов. [97]
Инструмент Threat Group-3390 может использовать WMI для выполнения двоичного файла. [98]
Дропперы Ursnif использовали классы WMI для выполнения команд PowerShell. [99]
Валак может использовать вызов процесса wmic create в запланированной задаче для запуска подключаемых модулей и выполнения. [100]
WannaCry использует wmic для удаления теневых копий. [101] [102] [103]
Windshift использует WMI для сбора информации о целевых машинах. [104]
Wizard Spider использует запросы WMI и LDAP для обнаружения сети и горизонтального перемещения. [105] [106] [107] [108]
В одном из вариантов Zebrocy для сбора информации используются запросы WMI. [109]
Смягчение
В Windows 10 включите правила Attack Surface Reduction (ASR), чтобы блокировать запуск процессов, созданных командами WMI. Примечание: многие законные инструменты и приложения используют WMI для выполнения команд. [110]
Используйте контроль приложений, настроенный на блокировку выполнения wmic.exe, если это не требуется для данной системы или сети, чтобы предотвратить возможное неправомерное использование злоумышленниками. Например, в Windows 10 и Windows Server 2016 и более поздних версиях правила политики управления приложениями Защитника Windows (WDAC) могут применяться для блокировки приложения wmic.exe и предотвращения злоупотреблений. [111]
Предотвратите дублирование учетных данных в системах учетных записей администратора и привилегированных учетных записей. [2]
По умолчанию удаленное подключение с помощью WMI разрешено только администраторам. Ограничьте других пользователей, которым разрешено подключение, или запретите всем пользователям удаленное подключение к WMI.
Обнаружение
Отслеживание сетевого трафика для соединений WMI; использование WMI в средах, которые обычно не используют WMI, может вызывать подозрения. Выполняйте мониторинг процесса, чтобы перехватывать аргументы командной строки «wmic» и обнаруживать команды, которые используются для выполнения удаленного поведения. [2]
Инструментарий управления Windows (WMI) — это инфраструктура для управления данными и операциями в операционных системах на базе Windows. Вы можете писать сценарии или приложения WMI для автоматизации административных задач на удаленных компьютерах, но WMI также предоставляет данные управления другим частям операционной системы и продуктов, например, System Center Operations Manager (ранее Microsoft Operations Manager (MOM)) или Windows Удаленное управление (WinRM).
Эта документация предназначена для разработчиков и ИТ-администраторов. Если вы являетесь конечным пользователем, который столкнулся с сообщением об ошибке, касающимся WMI, вам следует обратиться в службу поддержки Microsoft и найти код ошибки, который вы видите в сообщении об ошибке. Дополнительные сведения об устранении неполадок со сценариями WMI и службой WMI см. в разделе WMI не работает!
WMI полностью поддерживается Microsoft.Однако последняя версия административных сценариев и элементов управления доступна через инфраструктуру управления Windows (MI). MI полностью совместим с предыдущими версиями WMI и предоставляет множество функций и преимуществ, которые упрощают проектирование и разработку поставщиков и клиентов. Дополнительные сведения см. в разделе Инфраструктура управления Windows (MI).
Где применим WMI?
WMI можно использовать во всех приложениях для Windows, и он наиболее полезен в корпоративных приложениях и административных сценариях.
Системные администраторы могут найти информацию об использовании WMI в различных книгах по WMI. Дополнительные сведения см. в разделе Дополнительная информация.
Аудитория разработчиков
WMI предназначен для программистов, использующих C/C++, приложение Microsoft Visual Basic или язык сценариев с ядром в Windows и обрабатывающим объекты Microsoft ActiveX. Хотя некоторое знакомство с программированием COM полезно, разработчики C++, которые пишут приложения, могут найти хорошие примеры для начала работы в разделе Создание приложения WMI с помощью C++.
Многие администраторы и ИТ-специалисты получают доступ к WMI через PowerShell. Командлет Get-WMI для PowerShell позволяет получить информацию для локального или удаленного репозитория WMI. Таким образом, ряд тем и классов, особенно в разделе «Создание клиентов WMI», содержат примеры PowerShell. Дополнительные сведения об использовании PowerShell см. в разделе Windows PowerShell.
Требования к среде выполнения
Дополнительные сведения о том, какая операционная система требуется для использования определенного элемента API или класса WMI, см. в разделе «Требования» каждой темы в документации WMI.
Если ожидаемый компонент отсутствует, см. раздел Доступность операционной системы для компонентов WMI.
Вам не нужно загружать или устанавливать специальный пакет разработки программного обеспечения (SDK), чтобы создавать сценарии или приложения для WMI. Однако есть некоторые инструменты администрирования WMI, которые разработчики считают полезными. Дополнительные сведения см. в разделе «Загрузки» в разделе «Дополнительная информация».
Что такое WMI? Давайте узнаем все об этом в этой статье
Что такое WMI? Это новая марка немецких автомобилей? Неа. Поскольку нам нравится исследовать обширные области знаний, мы попытаемся подойти к этому вопросу: что такое WMI? Есть люди, у которых нет властной потребности овладеть концепцией, например, таксисты, но есть и другие смелые люди, которые будут жить намного лучше со знанием этих навыков. Итак, что такое WMI?
Что такое WMI? Базовый подход к концепции
WMI (Инструментарий управления Windows) — это технологическое изобретение Microsoft, целью которого является забота о различных операционных средах Windows.
Инструментарий управления Windows (WMI) состоит из набора расширений модели драйверов Windows, которые предоставляют интерфейс операционной системы, так что его компоненты предоставляют нам информацию и различные типы уведомлений.
WMI – это реализация Microsoft стандартов веб-управления бизнесом (WBEM), общей информационной модели (CIM) и Рабочей группы по распределенному управлению (DMTF).
WMI позволяет языкам сценариев (таким как VBScript или Windows PowerShell) управлять персональными компьютерами и серверами Microsoft Windows как локально, так и удаленно. WMI предустановлен в Windows 2000 и новейших операционных системах Microsoft. Его также можно загрузить для Windows NT, Windows 95 и Windows 98.
Microsoft также предоставляет интерфейс командной строки для WMI, называемый командной строкой инструментария управления Windows (WMIC).
Что мы можем сделать с WMI?
Теперь, когда мы усвоили и усвоили, что такое WMI, давайте рассмотрим несколько простых вещей, для которых мы можем его использовать.
Как мы уже упоминали, с помощью WMI будет легко управлять как непосредственными, так и удаленными компьютерами, имея возможность программировать процессы, которые будут выполняться в указанные и выбранные моменты; инициировать его и начать работу на удаленном компьютере; также перезапустить их на расстоянии, если это необходимо; получить списки приложений, установленных на нашем компьютере, на остальных локальных компьютерах, а также на удаленных; сообщить нам о реестрах событий Windows, как на локальных компьютерах, так и на удаленных…
Вы должны знать, что, поскольку WMI поставляется с набором готовых к использованию интерфейсов автоматизации, все функции администрирования, поддерживаемые поставщиком WMI и его набором классов, поддерживаются сценариями для немедленного и бесплатного использования. Помимо проектирования классов WMI и разработки поставщиков, группам разработчиков и тестировщиков Microsoft не требуется создавать, проверять и тестировать модель сценариев, поскольку она фактически доступна в WMI.
Цели WMI
Можно считать, что целью WMI является определение набора спецификаций, независимых от среды, которые позволяют обмениваться управляющей информацией между одними и теми же управляющими приложениями.
WMI предписывает стандарты управления предприятием и связанные с ними технологии для Windows, которые работают с существующими стандартами управления. Подобно интерфейсу управления рабочим столом (DMI) и SNMP, WMI дополняет эти стандарты, предоставляя единую модель. Эта модель представляет собой среду, через которую можно получить доступ к данным управления из любого источника обычным способом.
Попробуем упростить. WMI работает примерно так же, как база данных; он предлагает вам большую и разнообразную информацию, которая будет наиболее полезна для систем мониторинга, основанных на Windows.
Представьте себя перед панелью управления прибором. У вас есть весь необходимый доступ к его частям, и вы можете наблюдать за уровнями, которые соответствуют наиболее личным переменным компьютера, работающего в среде Microsoft Windows. WMI использует свой язык, чтобы предоставить нам репрезентативные образцы функционирования систем, приложений, сетей, различных устройств и т. д.
Кстати, вы знаете, кто делает это как никто другой и является чемпионом по мониторингу? Pandora FMS — гибкая система мониторинга, способная отслеживать устройства, инфраструктуры, приложения, сервисы и бизнес-процессы.
Например, в следующем видео показано, как удаленно создать и настроить WMI-модуль в Pandora FMS:
Или, если вам нужно контролировать более 100 устройств, вы также можете воспользоваться 30-дневной БЕСПЛАТНОЙ ДЕМО-версией Pandora FMS Enterprise. Получите это здесь.
Команда Pandora FMS будет рада помочь вам!
Комплект управления Pandora FMS создан для объединения аналитиков и профессионалов TI с общим счетом: для мониторинга информационных систем.
Редакционная группа Pandora FMS состоит из группы писателей и ИТ-специалистов, которых объединяет одно: их страсть к мониторингу компьютерных систем.
WMI — это набор расширений модели драйверов Windows, которые предоставляют интерфейс ОС, в котором компоненты могут предоставлять информацию и уведомления. Классы WMI Win32_Process могут помочь собрать полезную информацию о процессах. Команда Windows wmic расширяет WMI для работы с несколькими интерфейсами командной строки и с помощью пакетных сценариев без необходимости полагаться на какой-либо другой язык программирования. Команда wmic использует псевдонимы классов для запроса связанной информации. Его можно выполнять как удаленно, так и локально, указав имя целевого узла или хоста и учетные данные. Различные команды, которые можно использовать для извлечения различной информации, связанной с процессом, с помощью wmic, показаны в таблице 41.13.
Таблица 41.13 . Список команд инструментария управления Windows (WMI) для получения информации о процессе
Найти путь к конкретному запущенному исполняемому файлу и его родительскому процессу (для всех не указывать 'where name=') |
Найти вызов из командной строки определенного исполняемого файла, а также время создания процесса (для всех не указывать 'where name='). |
Найти все файлы, загруженные в запуск и разделы реестра, связанные с автозапуском. |
Поиск определенного имени процесса, например cmd.exe |