Ejecución mediante WMI y PowerShell con binarios de confianza

Abre compiladores_y_wmi.txt en la consola del laboratorio con el entorno rt-lolbins-guia.

Cuando un operador ejecuta una instrucción a través de la interfaz de línea de comandos de WMI solicitando la creación de un proceso, el invocador no engendra directamente al proceso hijo en su propio árbol de ejecución. En su lugar, delega la creación al proveedor del servicio.

Revisa el apartado 2 en compiladores_y_wmi.txt.

Los analistas del SOC que investiguen la creación del proceso mediante Sysmon (Event ID 1) no verán la consola interactiva como proceso padre. Observarán al proceso host del proveedor de Instrumental de Administración de Windows.

Si las directivas de seguridad corporativas bloquean el ejecutable powershell.exe mediante listas negras simples, los operadores pueden ejecutar comandos de PowerShell a través de binarios de confianza que alojan la biblioteca System.Management.Automation.dll.

Herramientas legítimas de Microsoft como SyncAppvPublishingServer.exe o aplicaciones desarrolladas internamente pueden consumir el motor de scripting sin invocar la consola oficial.