detecting-wmi-persistence
por mukul975La skill detecting-wmi-persistence ayuda a analistas de threat hunting y DFIR a detectar la persistencia de suscripciones de eventos WMI en telemetría de Windows usando los Event IDs 19, 20 y 21 de Sysmon. Úsala para identificar actividad maliciosa de EventFilter, EventConsumer y FilterToConsumerBinding, validar hallazgos y distinguir la persistencia de un atacante de la automatización administrativa legítima.
Esta skill obtiene 78/100 y merece figurar: ofrece a los usuarios del directorio un flujo de trabajo concreto para buscar persistencia WMI, suficiente contexto para activarla correctamente y un conjunto de scripts y referencias de apoyo. Es una buena opción para decisiones de instalación, aunque conviene tener en cuenta que está orientada a entornos Windows/Sysmon y que se centra más en la detección que en una automatización integral de extremo a extremo.
- Trigger claro y específico: búsqueda de persistencia de suscripciones de eventos WMI mediante los Event IDs 19, 20 y 21 de Sysmon.
- El flujo operativo está bien definido, con requisitos previos, tipos de consumidores sospechosos y ejemplos de enumeración con PowerShell/WMI.
- Los archivos de apoyo aportan valor: un script agente en Python y una referencia de API para campos y comandos de Sysmon/WMI.
- Requiere un entorno bastante específico: registro de WMI en Sysmon, ingesta en un SIEM y acceso a PowerShell/WMI en endpoints Windows.
- Su instalabilidad queda algo limitada por la ausencia de un comando de instalación y por una densidad de señal de flujo de trabajo solo moderada más allá del camino principal de detección.
Descripción general de la skill detecting-wmi-persistence
La skill detecting-wmi-persistence te ayuda a cazar persistencia por suscripción a eventos WMI en la telemetría de Windows, especialmente en los eventos 19, 20 y 21 de Sysmon. Es ideal para threat hunters, analistas DFIR y equipos blue team que necesitan confirmar si una actividad sospechosa de WMI es automatización administrativa legítima o persistencia de un atacante.
Para qué sirve detecting-wmi-persistence
Esta skill de detecting-wmi-persistence está diseñada para una tarea muy concreta: identificar actividad maliciosa de EventFilter, EventConsumer y FilterToConsumerBinding vinculada a MITRE ATT&CK T1546.003. Resulta especialmente útil cuando ya tienes telemetría o una alerta y necesitas pasar rápido de la señal a la evidencia.
En qué se diferencia de un prompt genérico
A diferencia de un prompt amplio tipo “revisa si hay persistencia”, detecting-wmi-persistence te da un modelo de datos concreto: registros de Sysmon, consultas al espacio de nombres de WMI, tipos de consumidores sospechosos y pasos de limpieza. Eso la hace más fiable para investigaciones repetibles y más fácil de aplicar en un SIEM o en un flujo de trabajo de endpoint.
Usuarios y entornos que mejor encajan
Usa detecting-wmi-persistence si tienes Sysmon desplegado, reenvío de eventos de Windows o ingesta en un SIEM, y suficiente acceso para consultar root\subscription. Encaja mejor con hunt engineering, respuesta a incidentes y validación purple team que con investigaciones ligeras solo en escritorio.
Cómo usar la skill detecting-wmi-persistence
Instala la skill detecting-wmi-persistence
Instala con:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-wmi-persistence
Después, abre primero skills/detecting-wmi-persistence/SKILL.md, y luego references/api-reference.md y scripts/agent.py para entender el mapeo de eventos y la lógica de detección.
Empieza con la entrada adecuada
El uso de detecting-wmi-persistence funciona mejor cuando aportas uno de estos elementos: un extracto de evento de Sysmon, un nombre de host sospechoso, una ventana temporal o un nombre concreto de consumidor/filtro de WMI. Una petición débil como “comprueba persistencia WMI” tarda más en resolverse que “investiga los Event IDs 19-21 de Sysmon del host X entre las 02:00 y las 06:00 UTC”.
Flujo de trabajo sugerido para threat hunting
Para usar detecting-wmi-persistence en threat hunting, empieza con los Event IDs 19, 20 y 21 de Sysmon; después revisa si el consumidor es CommandLineEventConsumer o ActiveScriptEventConsumer; por último, valida el enlace en root\subscription. Si ya tienes un filtro o un consumidor candidato, úsalo para acotar la búsqueda antes de enumerarlo todo.
Qué leer primero en el repositorio
Lee references/api-reference.md para ver los event IDs, la enumeración con PowerShell y las clases de consumidores sospechosas. Lee scripts/agent.py si quieres entender cómo la skill automatiza la recolección, qué considera sospechoso y qué supuestos hace sobre el acceso a Windows y la disponibilidad de telemetría.
Preguntas frecuentes sobre la skill detecting-wmi-persistence
¿detecting-wmi-persistence es solo para usuarios de Sysmon?
En su mayoría, sí. La skill está construida alrededor de los Event IDs 19, 20 y 21 de Sysmon, así que si no tienes habilitado el registro de WMI en Sysmon, la skill detecting-wmi-persistence será mucho menos efectiva. Aun así, puedes usar las ideas de consultas WMI, pero perderás la vía de detección más sólida.
¿Necesito ser experto en WMI para usarla?
No. La guía de detecting-wmi-persistence es útil para principiantes que pueden aportar logs o contexto del host, porque convierte una comprobación de persistencia muy específica en una búsqueda estructurada. Eso sí, necesitas suficiente acceso a Windows para validar suscripciones o trabajar con alguien que sí lo tenga.
¿Cuándo no debería usar esta skill?
No uses detecting-wmi-persistence como skill general de triage de malware ni como sustituto de un análisis forense completo del endpoint. Si el problema es más amplio que la persistencia por WMI, quizá te convenga primero una skill más general de hunting o de respuesta a incidentes.
¿En qué se diferencia de un prompt normal?
Un prompt normal suele pedirle al modelo que infiera el flujo de trabajo de memoria. La skill detecting-wmi-persistence te da una ruta más cerrada: event IDs, clases de artefactos probables y pasos de validación respaldados por el repositorio, lo que normalmente se traduce en menos intentos fallidos y una mejor estructura de investigación.
Cómo mejorar la skill detecting-wmi-persistence
Aporta telemetría de mayor calidad desde el inicio
La mejora más importante para detecting-wmi-persistence es una mejor entrada. Proporciona XML bruto de Sysmon, fragmentos de eventos reenviados, el rol del host y el rango temporal. Por ejemplo, “Host WS-17, eventos Sysmon 19-21, CommandLineEventConsumer sospechoso, contexto de usuario desconocido” es mucho más útil que “creo que WMI se ve raro”.
Separa la automatización legítima de la persistencia sospechosa
Un modo de fallo habitual es sobredimensionar el uso legítimo de WMI por parte de administradores. Mejora los resultados de detecting-wmi-persistence diciéndole a la skill cómo se ve lo normal en tu entorno: herramientas de despliegue conocidas, agentes de gestión programados o scripts aprobados. Ese contexto ayuda a centrar la búsqueda en filtros, consumidores y bindings inusuales.
Itera con preguntas de seguimiento concretas
Después del primer pase, pide a la skill detecting-wmi-persistence que se enfoque en un solo tipo de artefacto a la vez: filtro, consumidor o binding. También puedes pedir una lista de verificación de validación, un plan de consultas orientado a limpieza o una traducción de la consulta a SIEM. Iterar así suele dar resultados más accionables que pedir un único veredicto amplio.