IT-forensik – Windows

Forensisk analys av Windows WMI – kartlägga persistensmekanismer och systemaktiviteter

Windows Management Instrumentation (WMI) ist eine zentrale Verwaltungsplattform des Betriebssystems. Administratoren und zahlreiche Anwendungen nutzen WMI zur Systemverwaltung und Automatisierung. Gleichzeitig wird WMI häufig von Angreifern verwendet, um dauerhafte Persistenz einzurichten oder Befehle unauffällig auszuführen.

Begär en icke-bindande offert

Im Rahmen einer professionellen IT-forensischen Untersuchung werden WMI-Artefakte niemals isoliert bewertet. Erst die Korrelation mit Registry-Artefakten, Event Logs, geplanten Aufgaben, Diensten, Prefetch-Dateien und weiteren digitalen Spuren ermöglicht eine belastbare technische Bewertung.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen utförs uteslutande på en forensisk kopia eller en forensisk avbildning. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett sätt som säkerställer bevisvärdet.

Våra tjänster

Vi analyserar WMI-repositorier, händelsefilter, händelsekonsumenter, kopplingar mellan filter och konsumenter samt andra WMI-objekt. Resultaten jämförs med ytterligare Windows-objekt och dokumenteras fullständigt.

Typiska användningsområden

•Incidenthantering
•Undersökningar av skadlig programvara och utpressningsprogram
•Analys av persistensmekanismer
•Rekonstruktion av administrativa aktiviteter
•Undersökning av systemmanipulationer
•Rättsliga utlåtanden

Så här går analysen till

Efter att en forensisk avbildning har skapats undersöks alla relevanta WMI-artefakter. Därefter genomförs en teknisk utvärdering i samband med ytterligare digitala spår från systemet.

Warum sind WMI-Artefakte wichtig?

WMI kan användas både för legitim systemadministration och för missbruk i form av mekanismer för att upprätthålla närvaro i systemet. Endast en samlad utvärdering av alla relevanta artefakter möjliggör en korrekt och rättsligt hållbar bedömning.

Vanliga frågor

Was ist Windows WMI?+
WMI ist eine Verwaltungsplattform zur Administration und Automatisierung von Windows-Systemen.
Kann WMI von Schadsoftware genutzt werden?+
Ja. WMI wird von verschiedenen Schadprogrammen und Angreifern als Persistenz- oder Ausführungsmechanismus verwendet.
Kommer det ursprungliga systemet att undersökas?+
Nej. Det är uteslutande en forensisk kopia eller en forensisk avbildning som analyseras.
Reichen WMI-Artefakte allein für ein Gutachten aus?+
Nej. De analyseras alltid tillsammans med andra Windows-artefakter.

LanCologne – Windows-forensik i Köln

Behöver ni en professionell analys av Windows WMI-artefakter eller andra Windows-komponenter? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med att objektivt utvärdera komplexa Windows-system.

Kontakta oss nu