Informática forense – Windows

Análise forense do WMI do Windows – Compreender os mecanismos de persistência e as atividades do sistema

Windows Management Instrumentation (WMI) ist eine zentrale Verwaltungsplattform des Betriebssystems. Administratoren und zahlreiche Anwendungen nutzen WMI zur Systemverwaltung und Automatisierung. Gleichzeitig wird WMI häufig von Angreifern verwendet, um dauerhafte Persistenz einzurichten oder Befehle unauffällig auszuführen.

Pedido de informação sem compromisso

Im Rahmen einer professionellen IT-forensischen Untersuchung werden WMI-Artefakte niemals isoliert bewertet. Erst die Korrelation mit Registry-Artefakten, Event Logs, geplanten Aufgaben, Diensten, Prefetch-Dateien und weiteren digitalen Spuren ermöglicht eine belastbare technische Bewertung.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A análise é realizada exclusivamente numa cópia forense ou numa imagem forense. A prova original permanece inalterada e é guardada de forma a garantir a sua integridade probatória.

Os nossos serviços

Analisamos repositórios WMI, filtros de eventos, consumidores de eventos, ligações entre filtros e consumidores, bem como outros artefactos WMI. Os resultados são comparados com artefactos adicionais do Windows e documentados na íntegra.

Áreas de aplicação típicas

•Resposta a Incidentes
•Análises de malware e ransomware
•Análise dos mecanismos de persistência
•Reconstrução das atividades administrativas
•Investigação de manipulações do sistema
•Pareceres judiciais

É assim que se realiza a análise

Após a criação de uma cópia forense, todos os artefactos WMI relevantes são analisados. Segue-se, em seguida, a avaliação técnica no contexto de outros vestígios digitais do sistema.

Warum sind WMI-Artefakte wichtig?

O WMI pode ser utilizado tanto para a gestão legítima do sistema como para mecanismos de persistência abusivos. Só a análise global de todos os artefactos relevantes permite uma avaliação adequada e com valor probatório em tribunal.

Perguntas frequentes

Was ist Windows WMI?+
WMI ist eine Verwaltungsplattform zur Administration und Automatisierung von Windows-Systemen.
Kann WMI von Schadsoftware genutzt werden?+
Ja. WMI wird von verschiedenen Schadprogrammen und Angreifern als Persistenz- oder Ausführungsmechanismus verwendet.
O sistema original está a ser analisado?+
Não. A análise é efetuada exclusivamente sobre uma cópia forense ou uma imagem forense.
Reichen WMI-Artefakte allein für ein Gutachten aus?+
Não. São sempre analisados em conjunto com outros artefactos do Windows.

LanCologne – Análise forense do Windows em Colónia

Precisa de uma análise profissional de artefactos WMI do Windows ou de outros componentes do Windows? A LanCologne presta-lhe apoio na recolha de provas digitais com validade judicial, bem como na avaliação objetiva de sistemas Windows complexos.

Entre em contacto connosco agora