关于 hunting-for-lateral-movement-via-wmi
面向 SOC 分析师的威胁狩猎技能，用于调查 Windows 上通过 WMI 进行的横向移动。它指导解析日志、检测可疑的 WmiPrvSE.exe 子进程和 WMI 事件订阅，并生成 JSON 报告。
主要功能
- 01解析 Windows 和 Sysmon 事件
- 02检测 WmiPrvSE.exe 子进程
- 03检查可疑命令行
- 04检查 WMI 事件订阅
- 05生成 JSON 活动报告
适用场景
- 01调查疑似 WMI 横向移动
- 02编写威胁狩猎查询或规则
- 03审查 WMI 活动监控覆盖
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/hunting-for-lateral-movement-via-wmi确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
通过 WMI 追踪横向移动
概述
Windows Management Instrumentation（WMI）常被滥用于横向移动，通过 wmic process call create 或 Win32_Process.Create() 在远程主机上执行命令。检测重点在于识别 WmiPrvSE.exe 在 Windows 安全事件 ID 4688 和 Sysmon 事件 ID 1 日志中生成子进程（cmd.exe、powershell.exe），以及用于事件订阅持久化的 WMI-Activity/Operational 事件（5857、5860、5861）。
适用场景
- 当调查需要追踪通过 WMI 进行横向移动的安全事件时
- 当为该领域构建检测规则或威胁追踪查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 当验证相关攻击技术的安全监控覆盖范围时
前提条件
- 启用了进程创建审核的 Windows 安全事件日志（事件 4688，含命令行）
- 已安装并配置了事件 ID 1（进程创建）的 Sysmon
- Python 3.9+ 及
python-evtx、lxml库 - 了解 WMI 架构及 WmiPrvSE.exe 的行为
步骤
步骤 1：解析进程创建事件
从 EVTX 文件中提取事件 ID 4688 和 Sysmon 事件 1 条目。
步骤 2：检测 WmiPrvSE 子进程
标记 ParentImage/ParentProcessName 为 WmiPrvSE.exe 的进程，表明存在远程 WMI 执行。
步骤 3：分析命令行模式
识别符合 WMI 横向移动模式的可疑命令行（cmd.exe /q /c、输出重定向到 admin$ 共享）。
步骤 4：检查 WMI 事件订阅
解析 WMI-Activity/Operational 日志，查找表明持久化的事件消费者创建。
预期输出
包含 WMI 生成的进程、可疑命令行、WMI 事件订阅告警以及横向移动活动时间线的 JSON 报告。
评论
支持 Markdown