Servisler ve WMI üzerinden uzaktan çalıştırmaya karşı nasıl savunulur

Saldırgan ne yapar

Geçerli yönetici kimlik bilgileriyle bir saldırgan, etkileşimli bir oturum açmadan başka bir makinede komut çalıştırır. Yaygın yollar hedefte bir servis oluşturur (PsExec, SMBExec) ya da WMI'dan bir süreç başlatmasını ister (WMIExec, Covenant'ın SharpWMI'ı). Kimlik bilgileri önceki bir adımdan gelir; bu teknik, ele geçirilmiş bir makinenin nasıl birçoğuna dönüştüğüdür.

Logda nasıl görünür

Hedef makinede uzaktan gelen komut, ebeveyni yöntemi ele veren yeni bir süreç başlatır. Servis tabanlı bir araç services.exe altında, bir WMI çağrısı provider host WmiPrvSE.exe altında çalışır. Kayıtlardaki başlangıçlardan biri:

PsExec özel bir durumdur: kendi servisini (PSEXESVC.exe) kopyalar, services.exe onu başlatır ve gerçek komut onun alt süreci olarak çalışır. services.exe altında başlatılan kodlanmış PowerShell, bir framework'ün yalnızca tek bir komutu çalıştırmak için oluşturduğu bir servistir.

Tespit

Challenge verisinde ölçüldü: kural 5 saldırı olayından 5 tanesini yakaladı, 2.233 normal olaydan 2 tanesiyle eşleşti.

title: Command shell or payload started by services.exe, or any child of the WMI provider host
id: e5fbef58-568c-4cfb-bead-f8cfd9b1da09
status: test
description: >
  Detects remote execution landing on a host: a command shell or PsExec service started by
  services.exe, a binary that services.exe started from a user-writable folder, and any process
  started by WmiPrvSE.exe. Normal services started by services.exe are signed programs in Windows
  or Program Files, which this rule does not match.
references:
  - https://attack.mitre.org/techniques/T1021/002/
  - https://attack.mitre.org/techniques/T1047/
  - https://howdefend.com/defend/remote-execution-service-wmi/
author: Bartu Kılıç
date: 2026-10-20
tags:
  - attack.lateral-movement
  - attack.execution
  - attack.t1021.002
  - attack.t1047
  - attack.t1569.002
logsource:
  product: windows
  category: process_creation
detection:
  service_shell:
    ParentImage|endswith: '\services.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\pwsh.exe'
      - '\PSEXESVC.exe'
  service_userpath:
    ParentImage|endswith: '\services.exe'
    Image|contains:
      - '\users\'
      - '\appdata\'
      - '\programdata\'
      - '\temp\'
      - '\public\'
  wmi_child:
    ParentImage|endswith: '\WmiPrvSE.exe'
  condition: service_shell or service_userpath or wmi_child
falsepositives:
  - A management agent that runs scripts through WMI; filter it by its own image path
  - Windows Defender runs its engine (MsMpEng.exe, NisSrv.exe) from ProgramData under services.exe; filter it by that path
level: high

Kuralın kaçırdıkları

• Servis olarak çalıştırılan indirilmiş program. Oluşturulan servis doğrudan saldırganın programına, kullanıcı klasörlerinin dışında düz bir yolla işaret ediyorsa iki dal da eşleşmez. Yeni servis oluşturmayı da (System Event ID 7045, Security Event ID 4697) izleyin.
• Hiçbir şey başlatmayan WMI. Her WMI kötüye kullanımı bir süreç oluşturmaz: bir WMI event subscription yükünü WMI deposunda saklar ve uzaktan WMI, WmiPrvSE.exe bir alt süreç oluşturmadan veri okuyup yazabilir.
• ProgramData'dan servis olarak çalışan yazılım. Kullanıcı klasörü dalı kuralın gevşek kısmıdır: temiz Windows 10 istemcisinde Windows Defender'ı eşleştirir; Defender MsMpEng.exe ve NisSrv.exe'yi services.exe altında ProgramData'dan çalıştırır. Buradaki tek false positive bu ikisidir; onları yoluyla filtreleyin.
• Meşru uzaktan yönetim. WMI ya da bir servis üzerinden script çalıştıran bir yönetim ürünü aynı olayları üretir. Kuralı kapatarak değil, kendi image yoluyla filtreleyin.

Önleme

• Attack surface reduction. Microsoft Defender'ın Block process creations originating from PsExec and WMI commands kuralı (d1e49aac-8f56-4280-b9ba-993a6d77406c) bu başlangıçları durdurur. Microsoft, WMI'ya dayanan istemcisi nedeniyle bu kuralı Configuration Manager üzerinden açmamayı söyler.
• Yerel yöneticileri kısıtlayın. Buradaki her yol hedefte yönetici hakları gerektirir. Benzersiz yerel yönetici parolaları (LAPS) çalınan tek bir parolanın her makineyi açmasını engeller.
• Ağı bölümleyin. Uzaktan servis ve WMI çağrıları SMB (445) ve RPC kullanır; iş istasyonundan iş istasyonuna trafiği kısıtlamak bu araçların izlediği yolu kaldırır.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1021.002 SMB/Windows Admin Shares
• Microsoft Learn: Attack surface reduction rules reference
• OTRF Security-Datasets (attack recordings used on this page)