Abuso di WMI: Windows Management Instrumentation (T1047)

Windows Management Instrumentation è l'infrastruttura nativa di Windows per la gestione centralizzata di dati e operazioni sui sistemi. Nata come strumento per amministratori e sviluppatori, offre un'interfaccia uniforme per interrogare lo stato dell'host, avviare processi, leggere il registro e interagire con componenti remoti. Proprio questa versatilità la rende un vettore privilegiato per gli attaccanti, che la sfruttano nella tattica TA0002 (Execution) per eseguire codice arbitrario in modo silenzioso, spesso senza toccare il disco.

L'accesso remoto avviene tramite DCOM sulla porta 135 oppure attraverso WinRM sulle porte 5985/5986, aprendo la strada a movimento laterale, discovery e persistenza. Un esempio classico è la cancellazione delle shadow copy con wmic.exe Shadowcopy Delete, utilizzata da ransomware per inibire il ripristino del sistema.

Il framework MITRE ATT&CK documenta un impatto notevole: 39 gruppi APT, 88 famiglie di malware e tool, 11 campagne attribuite e 4 mitigazioni ufficiali. Va segnalato che wmic.exe è stato deprecato a gennaio 2024 e disabilitato di default su Windows 11+, ma le API COM e i cmdlet PowerShell come Invoke-WmiMethod e Get-WmiObject restano pienamente funzionali. Il baricentro dell'abuso si sta quindi spostando dall'utility a riga di comando verso interfacce programmatiche più difficili da intercettare con le regole tradizionali basate sul nome del binario.

In un ingaggio red team, WMI offre un vettore di esecuzione remota che spesso passa sotto il radar delle regole basate su cmd.exe o powershell.exe. Il punto di partenza classico è Impacket (open source), la suite Python di SecureAuth che include wmiexec.py. Il comando tipico ha la forma wmiexec.py DOMAIN/user:password@target "comando", oppure — se possiedi hash NTLM — con il flag -hashes LMHASH:NTHASH per un attacco pass-the-hash. L'output torna via SMB su ADMIN$, quindi assicurati che la share sia accessibile.

Per scenari che richiedono minor footprint, CrackMapExec e il suo successore NetExec (entrambi open source) offrono il modulo -x con opzione --exec-method wmiexec, utile per validare credenziali su interi range e lanciare comandi in batch. PowerSploit (open source) include Invoke-WmiCommand per eseguire scriptblock PowerShell su host remoti sfruttando WMI come canale di trasporto, con output serializzato di ritorno.

Dalla shell locale, la sintassi PowerShell moderna è più discreta di wmic:

Invoke-WmiMethod -ComputerName TARGET -Class Win32_Process -Name Create -ArgumentList "cmd.exe /c payload.exe"

oppure la variante CIM, ancora più pulita:

Invoke-CimMethod -ComputerName TARGET -ClassName Win32_Process -MethodName Create -Arguments @{CommandLine="payload.exe"}

Per la discovery, query come Get-WmiObject -Class Win32_Product enumerano software installato, mentre Win32_Service rivela servizi e path binari sfruttabili per privilege escalation. Il rilevamento di prodotti EDR passa spesso da Select * From AntiVirusProduct nel namespace root\SecurityCenter2.

Per post-exploitation più strutturata, Covenant (open source), PoshC2 (open source), SILENTTRINITY (open source) e Brute Ratel C4 (a pagamento) implementano moduli WMI nativi per lateral movement. Koadic (open source) sfrutta WMI insieme a MSHTA per stager in-memory.

Una tecnica avanzata è la persistenza tramite WMI Event Subscription: si registra un __EventFilter che monitora eventi (login, avvio processo) e lo si collega a un CommandLineEventConsumer che esegue il payload. Lo script Persistence.psm1 di PowerSploit automatizza questo pattern. In ambiente lab, verifica sempre l'isolamento di rete prima di testare wmiexec su segmenti condivisi: il rumore su porta 135 e la creazione di processi wmiprvse.exe figli è immediatamente visibile a qualsiasi EDR moderno.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.