IT-kriminalteknik – Windows

Forensisk analyse af Windows WMI – kortlægning af persistensmekanismer og systemaktiviteter

Windows Management Instrumentation (WMI) er en central administrationsplatform i operativsystemet. Administratorer og mange programmer bruger WMI til systemadministration og automatisering. Samtidig bruges WMI ofte af angribere til at etablere varig tilstedeværelse eller udføre kommandoer uden at vække opmærksomhed.

Uforpligtende forespørgsel

I forbindelse med en professionel IT-forensisk undersøgelse vurderes WMI-artefakter aldrig isoleret. Først sammenholdet med artefakter fra registreringsdatabasen, hændelseslogfiler, planlagte opgaver, tjenester, prefetch-filer og andre digitale spor gør det muligt at foretage en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer WMI-repositorier, hændelsesfiltre, Event Consumer, Filter-to-Consumer-bindinger samt andre WMI-artefakter. Resultaterne sammenlignes med yderligere Windows-artefakter og dokumenteres fuldstændigt.

Typiske anvendelsesområder

•Håndtering af sikkerhedshændelser
•Undersøgelser af malware og ransomware
•Analyse af persistensmekanismer
•Rekonstruktion af administrative aktiviteter
•Undersøgelse af systemmanipulationer
•Retsmedicinske udtalelser

Sådan foregår analysen

Efter oprettelsen af et retsmedicinsk aftryk undersøges alle relevante WMI-artefakter. Derefter foretages den tekniske vurdering i forbindelse med yderligere digitale spor fra systemet.

Hvorfor er WMI-artefakter vigtige?

WMI kan både anvendes til legitim systemadministration og til misbrug i form af persistensmekanismer. Først en samlet analyse af alle relevante artefakter gør det muligt at foretage en korrekt og retsgyldig vurdering.

Ofte stillede spørgsmål

Hvad er Windows WMI?+
WMI er en administrationsplatform til administration og automatisering af Windows-systemer.
Kan WMI udnyttes af skadelig software?+
Ja. WMI bruges af forskellige ondsindede programmer og angribere som en mekanisme til at opretholde tilstedeværelsen eller udføre handlinger.
Undersøges det oprindelige system?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Er WMI-artefakter alene tilstrækkelige til en ekspertvurdering?+
Nej. De analyseres altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Windows WMI-artefakter eller andre Windows-komponenter? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv vurdering af komplekse Windows-systemer.

Kontakt os nu