Статья рассказывает, как легитимный механизм Windows Management Instrumentation превращается в излюбленный инструмент злоумышленников для незаметного закрепления в системе. Речь идёт о технике, когда вредоносное ПО использует WMI-подписки на события, чтобы переживать перезагрузки и оставаться невидимым для классических антивирусов.

Суть метода в том, что атакующий регистрирует постоянный фильтр и потребитель события, которые связывают определённое системное событие (например, запуск системы или логин пользователя) с выполнением вредоносной команды. Вся цепочка хранится не в файлах, а в системном репозитории WMI, что сильно усложняет обнаружение — стандартные проверки на автозагрузку тут не работают.

Автор подробно разбирает, как именно создаются эти связки: от простого запуска скрипта через командную строку до более сложных вариантов с использованием PowerShell. Материал рассчитан на читателей, которые уже знакомы с основами Windows, но хочет показать, как «охота на призраков» выглядит с технической стороны — с конкретными командами и примерами кода.

Особое внимание уделяется тому, почему эта техника так опасна: WMI-подписки не видны в диспетчере задач и не создают обычных записей в реестре, а значит, стандартные средства мониторинга часто слепы к такой активности. Для защиты предлагается использовать аудит событий WMI и следить за изменениями в репозитории, хотя это требует уже продвинутых навыков администрирования.

В итоге статья подводит к выводу, что WMI — это двойное оружие: мощный инструмент для админа и удобная лазейка для злоумышленника, и игнорировать эту угрозу больше нельзя.