用途：在 Windows 环境中主动搜索基于 WMI 事件订阅的无文件持久化机制（MITRE T1546.003），适用于威胁情报提示 APT 使用 WMI 持久化、系统重启后恶意软件仍存活、常规持久化位置（Run 键、计划任务）干净但怀疑被植入，以及观察到 WmiPrvSe.exe 派生异常子进程等场景。
主要能力：枚举现有永久 WMI 事件订阅；通过 Sysmon 事件 19/20/21 监控 WMI 事件过滤器、消费者与绑定的创建；分析消费者类型，重点关注 ActiveScriptEventConsumer 与 CommandLineEventConsumer；检查事件过滤器触发条件（如系统启动、用户登录、定时器）；调查 WmiPrvSe.exe 子进程；关联 mofcomp.exe 的 MOF 编译行为；验证并响应恶意订阅。
必要用法：需启用 Sysmon 事件 19/20/21、Windows 事件 5861（Microsoft-Windows-WMI-Activity）、PowerShell 脚本块与模块日志，并具备 WMI 仓库访问权限及 SIEM 关联平台。枚举命令示例：Get-WmiObject -Namespace root\subscription -Class __EventFilter；Get-WmiObject -Namespace root\subscription -Class __EventConsumer；Get-WmiObject -Namespace root\subscription -Class __FilterToConsumerBinding。
限制：资料未提供具体部署步骤、工具依赖版本或误报率数据；实际效果取决于日志配置完整性与环境基线。