Detects WMI-based lateral movement by analyzing Windows event ID 4688 process creations, Sysmon ID 1 WmiPrvSE.exe child processes, remote executions, and event subscription persistence in logs.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
Windows Management Instrumentation（WMI）常被滥用于横向移动，方式包括 `wmic process call create` 或 Win32_Process.Create() 在远程主机执行命令。检测重点在于：识别 WmiPrvSE.exe 在 Windows 安全事件 ID 4688 和 Sysmon 事件 ID 1 日志中派生子进程（cmd.exe、powershell.exe），以及 WMI-Activity/Operational 事件（5857、5860、5861）中的事件订阅持久化行为。
Detects WMI-based lateral movement by analyzing Windows Event ID 4688 process creation and Sysmon Event ID 1 logs for WmiPrvSE.exe child processes, remote execution, and event subscription persistence.
Hunts WMI-based lateral movement by parsing Windows Event 4688, Sysmon Event 1, and WMI logs for WmiPrvSE.exe children, remote execution, and persistence. For SOC threat hunting.
Detects WMI event subscription persistence (MITRE T1546.003) by analyzing Sysmon events ID 19, 20, 21 for malicious EventFilter, EventConsumer, and FilterToConsumerBinding creations. For threat hunting and incident response.
Share bugs, ideas, or general feedback.
Windows Management Instrumentation（WMI）常被滥用于横向移动，方式包括 wmic process call create 或 Win32_Process.Create() 在远程主机执行命令。检测重点在于：识别 WmiPrvSE.exe 在 Windows 安全事件 ID 4688 和 Sysmon 事件 ID 1 日志中派生子进程（cmd.exe、powershell.exe），以及 WMI-Activity/Operational 事件（5857、5860、5861）中的事件订阅持久化行为。
python-evtx、lxml 库从 EVTX 文件中提取事件 ID 4688 和 Sysmon 事件 1 条目。
标记 ParentImage/ParentProcessName 为 WmiPrvSE.exe 的进程，表示存在远程 WMI 执行。
识别匹配 WMI 横向移动模式的可疑命令行（cmd.exe /q /c、输出重定向到 admin$ 共享）。
解析 WMI-Activity/Operational 日志，查找表明持久化的事件消费者创建事件。
JSON 报告，包含 WMI 派生的进程、可疑命令行、WMI 事件订阅告警以及横向移动活动的时间线。