WMI Persistence kötü amaçlı yazılımını Windows PClerden bulma ve kaldırma

Microsoft, Windows bilgisayarlarının işletim ortamındaki kaynakları nasıl tahsis ettiğini yönetmek için Windows Yönetim Araçları'nı (WMI) oluşturdu. WMI ayrıca önemli bir şey daha yapar: Bilgisayar ağlarına yerel ve uzaktan erişimi kolaylaştırır.

Ne yazık ki siyah şapkalı bilgisayar korsanları, kalıcı bir saldırı yoluyla bu yeteneği kötü niyetli amaçlarla ele geçirebilirler. İşte WMI Persistence kötü amaçlı yazılımını Windows'tan nasıl kaldıracağınız ve kendinizi güvende tutacağınız.

WMI Kalıcılığı nedir ve neden tehlikelidir?

WMI Kalıcılığı, bir saldırganın bir WMI olayı oluştuğunda her zaman tetiklenen bir komut dosyasını, özellikle de bir olay işleyicisini yüklemesini ifade eder . Örneğin, sistem başlatıldığında veya sistem yöneticisi bilgisayarda bir klasör açmak veya bir programı kullanmak gibi bir işlem yaptığında bu durum meydana gelir.

Saldırılar tehlikelidir çünkü gizlice gerçekleşirler. Microsoft Komut Dosyası'nda açıklandığı gibi, bir saldırgan, sistem işlemi olarak görev yapan ve yürütme günlüğünü temizleyen bir veri yükünü yürütmek için kalıcı bir WMI olay aboneliği oluşturur. Bu saldırı vektörüyle saldırgan, komut satırı incelemesi yoluyla tespit edilmekten kaçınabilir.

WMI Kalıcılığı nasıl önlenir ve kaldırılır

WMI olay abonelikleri, tespit edilmeyi önleyecek şekilde akıllıca tasarlanmıştır. Bu saldırılardan kaçınmanın en iyi yolu WMI hizmetini devre dışı bırakmaktır. İleri düzey bir kullanıcı olmadığınız sürece bunu yapmanız genel kullanıcı deneyiminizi etkilemeyecektir.

Bir sonraki en iyi seçenek, DCOM'u tek bir statik bağlantı noktası kullanacak ve bu bağlantı noktasını engelleyecek şekilde yapılandırarak WMI protokolü bağlantı noktalarını engellemektir. Bunun nasıl yapılacağına ilişkin daha fazla talimat için Quantrimang.com'un savunmasız bağlantı noktalarının nasıl kapatılacağına ilişkin kılavuzuna göz atabilirsiniz .

Bu önlem, uzaktan erişimi engellerken WMI hizmetinin yerel olarak çalışmasına olanak tanır. Bu iyi bir fikir, özellikle de bir bilgisayara uzaktan erişmenin kendi risklerini de beraberinde getirmesi nedeniyle.

Son olarak, Chad Tilbury'nin bu sunumda gösterdiği gibi, WMI'yı tehditleri tarayacak ve sizi uyaracak şekilde yapılandırabilirsiniz:

Güç yanlış ellerde olmamalı

WMI güçlü bir sistem yöneticisidir ve yanlış ellerde tehlikeli bir araca dönüşme potansiyeline sahiptir. Daha da kötüsü, bu saldırıyı gerçekleştirmek için çok fazla ileri düzeyde teknik bilgiye gerek yoktur. WMI Kalıcılık saldırılarının nasıl oluşturulacağı ve başlatılacağına ilişkin talimatlar internette ücretsiz olarak mevcuttur.

Bu nedenle herhangi bir kötü adam sizi uzaktan gözetleyebilir veya iz bırakmadan verilerinizi çalabilir. Ancak iyi haber şu ki teknoloji ve siber güvenlikte mutlak diye bir şey yok. Saldırganın büyük hasara yol açmasından önce WMI'ın varlığını önlemek ve ortadan kaldırmak hala mümkün.