今年的BlackHat会议上，来自Binarly的研究团队分享了议题《Blasting Event-Driven Cornucopia: WMI-based User-Space Attacks Blind SIEMs and EDRs》，研究了如何使基于WMI进行性能监视与数据收集的SIEM和EDR解决方案失效的案例。

WMI(Windows Management Infrastructure)是一种Windows系统机制，旨在收集系统相关组件信息，如正在运行的程序与服务、注册表项、文件系统信息、终端安全信息等。

基于WMI获取终端设备数据具有以下优点：

1.适用范围广：可用系统包括从Windows NT 4.0之后的所有Windows操作系统

2.支持通过COM接口生成和使用设备事件的标准化框架

3.WMI事件几乎涵盖了所有操作系统事件

4.提供注册永久事件订阅以将操作与WMI事件相关联的功能

基于WMI机制能够方便地对系统进行监控与检测，因此，WMI也被各种工具与终端安全解决方案利用。WMI强大的设备检测能力在为安全解决方案提供便利性的同时，也带来了被攻击者利用于防御削弱的潜在风险。

WMI组件中存在许多类似的逻辑，以一个全局的标志变量作为“开关”，每当有对应事件发生时，先检查“开关”是否开启。若“开关”关闭则跳过处理流程，返回相应错误代码。

以WMI组件wbemcore.dll的利用为例

全局变量g_bDontAllowNewConnections被赋值为true。也就是说，当g_bDontAllowNewConnections被赋值为true时，表示相关功能的关闭。

回到议题介绍中：

WMI无法被连接，错误编号0x80080008。

通过patch的方式可能破坏基于WMI的正常功能。例如使用WMI监控进程创建，正常情况下，利用WMI监控Notepad.exe进程创建：

去年的Black Hat Europe上，Binarly团队介绍了对Windows事件跟踪(ETW)的攻击，使得Process Monitor(procmon等)和Windows Defender之类依赖于ETW作为信息源来检测操作系统级别以上的恶意行为的方案失效。今年，他们提出了用户模式下禁用WMI功能的攻击，这种类型的攻击方式可以使得基于WMI的系统监控工具或安全防护机制的效果被削弱。Binarly团队在近两年的Black Hat大会上都将关注点放在基于破坏操作系统提供的检测基础设施，实现防御削弱效果上。通过操作系统本身的基础设施的削弱，使得基于此的终端防护失去效果，未来的终端对抗或许也会沿着这一方向继续发展。

WMI属于操作系统级别的管理基础设施。单个安全检测机制可能由于其难以修复的设计缺陷和没有引入相应保护机制的原因，存在被攻击者破坏或绕过的可能。因此，综合性的终端安全防御体系应该尽量收集多种来源的监控基础设施情报。在综合所有信息的基础上进行决策，规避单个机制被破坏造成的影响，以获得更好的防护效果。