Интернетмагазин

Инструментарий управления Windows 
Инструментарий управления Windows (WMI) – это встроенная платфор-
ма Microsoft, которая управляет настройкой систем Windows. Так как в сре-
де Windows она легитимна, хакеры могут использовать ее без опасений быть 
обнаруженными средствами защиты. Единственная загвоздка для хакеров 
заключается в том, что у них уже должен быть доступ к компьютеру. В главе 
о стратегии атаки подробно рассказывается о том, как хакеры могут получить 
доступ к компьютерам.
WMI может использоваться для удаленного запуска процессов, выполнения 
запросов к системной информации, а также для установки долго живущих 

---

Дальнейшее распространение 
 
151
вредоносных программ. В случае дальнейшего распространения по сети есть 
несколько способов, с помощью которых хакеры используют WMI. Они могут 
применять его для поддержки запуска команд командной строки, получения 
вывода программ, изменения значений реестра, запуска сценариев Power-
Shell, получения вывода сценариев и, наконец, для вмешательства в работу 
служб.
WMI также может поддерживать множество операций по сбору данных. 
Обычно он используется хакерами в качестве инструмента быстрого осмотра 
системы для моментальной классификации целей. Он может предоставить 
хакерам информацию, например, о пользователях компьютера, локальных 
и сетевых дисках, к которым он подключен, IP-адресах и установленных про-
граммах. У него есть возможность завершать сеанс пользователя, а также вы-
ключать или перезагружать компьютеры. Он также может определить, активно 
ли пользователь использует компьютер, на основе журналов активности. Во 
время известного взлома Sony Pictures в 2014 г. WMI был ключевым инстру-
ментом, поскольку использовался злоумышленниками для запуска вредонос-
ных программ, установленных на компьютерах в сети организации.
WMImplant – это пример хакерской утилиты, которая использует WMI для 
выполнения вредоносных действий на компьютере жертвы. WMImplant хоро-
шо спроектирован и обладает меню, напоминающим Meterpreter в Metasploit.
На рис. 7.3 приведена схема главного меню утилиты, показывающая дей-
ствия, которые она может выполнить.
Как видно из меню, это очень мощный инструмент. У него есть специаль-
ные команды, разработанные для дальнейшего распространения в удаленных 
компьютерах. Он позволяет хакеру отдавать команды cmd, получать ввод про-
грамм, изменять реестр, запускать сценарии PowerShell и, наконец, создавать 
и удалять службы.
Основное различие между WMImplant и другими средствами удаленного 
доступа, такими как Meterpreter, заключается в том, что он изначально рабо-
тает в системе Windows, в то время как остальные сначала нужно загрузить на 
компью тер.