Informática forense – Windows

Análisis forense de WMI en Windows: comprensión de los mecanismos de persistencia y las actividades del sistema

Windows Management Instrumentation (WMI) es una plataforma de administración central del sistema operativo. Los administradores y numerosas aplicaciones utilizan WMI para la administración del sistema y la automatización. Al mismo tiempo, los atacantes suelen utilizar WMI para establecer una persistencia duradera o ejecutar comandos de forma discreta.

Solicitar información sin compromiso

En el marco de una investigación forense informática profesional, los indicios de WMI nunca se evalúan de forma aislada. Solo la correlación con los indicios del Registro, los registros de eventos, las tareas programadas, los servicios, los archivos de precarga y otros rastros digitales permite realizar una evaluación técnica fiable.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo exclusivamente sobre una copia forense o una imagen forense. La prueba original permanece intacta y se conserva de forma que se garantice su validez probatoria.

Nuestros servicios

Analizamos los repositorios WMI, los filtros de eventos, los consumidores de eventos, los enlaces entre filtros y consumidores, así como otros artefactos WMI. Los resultados se comparan con otros artefactos de Windows y se documentan exhaustivamente.

Ámbitos de aplicación habituales

•Respuesta ante incidentes
•Investigaciones sobre malware y ransomware
•Análisis de los mecanismos de persistencia
•Reconstrucción de las actividades administrativas
•Investigación de manipulaciones del sistema
•Informes periciales

Así es como se lleva a cabo el análisis

Tras la creación de una imagen forense, se analizan todos los artefactos WMI relevantes. A continuación, se lleva a cabo la evaluación técnica en relación con otros rastros digitales del sistema.

¿Por qué son importantes los artefactos WMI?

El WMI puede utilizarse tanto para la administración legítima del sistema como para mecanismos de persistencia maliciosos. Solo el análisis global de todos los indicios relevantes permite realizar una valoración adecuada y con validez jurídica.

Preguntas frecuentes

¿Qué es Windows WMI?+
WMI es una plataforma de gestión destinada a la administración y automatización de sistemas Windows.
¿Puede el software malicioso utilizar WMI?+
Sí. Diversos programas maliciosos y atacantes utilizan WMI como mecanismo de persistencia o de ejecución.
¿Se va a examinar el sistema original?+
No. Solo se analiza una copia forense o una imagen forense.
¿Son suficientes los artefactos WMI por sí solos para un informe pericial?+
No. Siempre se analizan junto con otros elementos de Windows.

LanCologne – Análisis forense de Windows en Colonia

¿Necesita un análisis profesional de los artefactos WMI de Windows u otros componentes de Windows? LanCologne le ayuda a realizar copias de seguridad de pruebas digitales válidas ante los tribunales, así como a llevar a cabo un análisis objetivo de sistemas Windows complejos.

Ponte en contacto con nosotros ahora