WMI kaliciligi, Windows Management Instrumentation altyapisinin olay abonelik mekanizmasini kullanarak, belirli sistem olaylari gerceklestiginde kotu amacli kodun otomatik tetiklenmesini saglayan bir yontemdir. WMI, sistem yoneticileri icin makine durumunu sorgulamaya ve olaylara tepki vermeye yarayan mesru bir altyapi olduindan, uzerine kurulan kalicilik cogu zaman gozden kacar.

WMI kaliciligi, bir olay filtresini bir tuketici ile eslestirerek belirli kosullar olustugunda kotu amacli kodu diskte belirgin bir iz birakmadan calistiran bir teknik.

Uc Parcali Yapi

Teknik uc WMI nesnesinin bir araya getirilmesine dayanir. Olay filtresi (EventFilter), hangi kosulun izlenecegini tanimlar; ornegin sistemin acilisindan belirli bir sure sonrasi ya da belirli bir surecin baslamasi. Olay tuketicisi (EventConsumer), kosul gerceklestiginde ne yapilacagini belirler; bu genellikle bir komut satiri ya da script calistirmaktir. Baglayici (FilterToConsumerBinding) ise bu ikisini birbirine baglar. Uc nesne WMI deposuna yazildiktan sonra, hicbir zamanlanmis gorev ya da baslangic girdisi olmadan kod tetiklenmeye baslar.

Bu yapinin degeri, saldirgan icin surdurulebilir bir dayanak noktasi olmasidir; yani Kalicilik saglama amacina hizmet eder. Sistem yeniden baslatilsa bile abonelik WMI deposunda durmaya devam eder ve tetikleyici kosul her olustugunda kod tekrar kosar.

Neden Fark Edilmesi Zor?

WMI abonelikleri diskte klasik bir yurutulebilir dosya olarak durmaz; kod cogunlukla WMI deposunda ya da tetiklendiginde bellekte yasar. Bu, teknigi etkili bir Savunmadan kacinma araci yapar. Ayrica WMI’nin yonetimsel amaclarla surekli kullanilmasi, kotuye kullanimi normal trafigin icinde gizler ve manuel incelemede kolayca atlanir.

Tespit ve Temizlik

Savunma tarafinda, WMI olay aboneliklerinin duzenli olarak envanterinin cikarilmasi ve beklenmeyen FilterToConsumerBinding nesnelerinin arastirilmasi gerekir. Modern Uc nokta guvenligi cozumleri WMI abonelik olusturma olaylarini kaydedip alarm uretebilir. Tuketicinin yuksek yetkiyle calisiyor olmasi, ayni zamanda bir Yetki yukseltme firsati da barindirdigi icin bu nesnelerin haklari ozellikle incelenmelidir.

Bir ortamda gizli WMI aboneliklerinin varligini ve tespit sistemlerinin bunlari yakalayip yakalayamadigini olcmek icin, teknigin kontrollu kosullarda denenmesi gerekir. Privia Security’nin red team hizmeti, bu tur sessiz kalicilik yontemlerini gercekci senaryolarla kurup kurumun gorunurlugunu sinar.