Ako nájsť a odstrániť malvér WMI Persistence z počítačov so systémom Windows

Spoločnosť Microsoft vytvorila Windows Management Instrumentation (WMI), aby zvládla spôsob, akým počítače so systémom Windows prideľujú prostriedky v operačnom prostredí. WMI robí ešte niečo dôležité: uľahčuje lokálny a vzdialený prístup k počítačovým sieťam.

Bohužiaľ, black hat hackeri môžu túto schopnosť zneužiť na škodlivé účely prostredníctvom trvalého útoku. Tu je postup, ako odstrániť malvér WMI Persistence zo systému Windows a udržať sa v bezpečí.

Čo je to WMI Persistence a prečo je to nebezpečné?

Stálosť WMI označuje útočníka, ktorý inštaluje skript, konkrétne obsluhu udalosti, ktorý sa vždy spustí, keď nastane udalosť WMI . Stane sa to napríklad vtedy, keď sa systém spustí alebo keď správca systému niečo vykoná na počítači, napríklad otvorí priečinok alebo použije program.

Útoky sú nebezpečné, pretože prebiehajú tajne. Ako je vysvetlené v Microsoft Scripting, útočník vytvorí trvalé predplatné udalostí WMI na spustenie užitočného zaťaženia, ktoré funguje ako systémový proces a vyčistí jeho denník vykonávania. S týmto vektorom útoku sa útočník môže vyhnúť detekcii prostredníctvom kontroly príkazového riadku.

Ako zabrániť a odstrániť WMI Persistence

Predplatné udalostí WMI je dômyselne vytvorené, aby sa zabránilo odhaleniu. Najlepším spôsobom, ako sa týmto útokom vyhnúť, je vypnúť službu WMI. Toto neovplyvní vašu celkovú používateľskú skúsenosť, pokiaľ nie ste pokročilý používateľ.

Ďalšou najlepšou možnosťou je blokovať porty protokolu WMI konfiguráciou DCOM tak, aby používal jeden statický port a zablokoval tento port. Ďalšie pokyny, ako to urobiť, nájdete v príručke Quantrimang.com o tom, ako zatvoriť zraniteľné porty .

Toto opatrenie umožňuje, aby sa služba WMI spúšťala lokálne, pričom blokuje vzdialený prístup. Je to dobrý nápad, najmä preto, že vzdialený prístup k počítaču má svoje vlastné riziká.

Nakoniec môžete nakonfigurovať WMI na skenovanie a varovanie pred hrozbami, ako to ukazuje Chad Tilbury v tejto prezentácii:

Moc by nemala byť v nesprávnych rukách

WMI je výkonný správca systému a má potenciál stať sa nebezpečným nástrojom v nesprávnych rukách. Ešte horšie je, že na vykonanie tohto útoku nie sú potrebné príliš pokročilé technické znalosti. Návod ako vytvoriť a spustiť WMI Persistence útoky sú voľne dostupné na internete.

Preto vás môže na diaľku špehovať alebo kradnúť dáta bez zanechania stopy. Dobrou správou však je, že v oblasti technológií a kybernetickej bezpečnosti neexistujú absolútne žiadne. Stále je možné zabrániť a eliminovať existenciu WMI skôr, ako útočník spôsobí veľké škody.