La persistenza WMI è una tecnica di Windows che abusa delle sottoscrizioni agli eventi di Windows Management Instrumentation per mantenere in esecuzione malware o una backdoor dopo i riavvii. Gli aggressori creano oggetti WMI permanenti come un EventFilter, un CommandLineEventConsumer e un collegamento tra di essi, in modo che un evento scelto possa attivare automaticamente il loro payload. Poiché WMI è una funzione di gestione integrata, l'attività può confondersi con la normale amministrazione del sistema.
Questo è importante nella sicurezza informatica perché offre agli intrusi un punto d'appoggio duraturo senza fare affidamento su cartelle di avvio evidenti o attività pianificate. I difensori cercano modifiche insolite al repository WMI, comandi consumer inattesi e filtri che facciano riferimento a processi o trigger di eventi sospetti. Gli strumenti di hunting e i responsabili della risposta agli incidenti spesso verificano le sottoscrizioni WMI quando una macchina mostra segni di accesso furtivo, poiché rimuovere tali artefatti è di solito necessario per interrompere la catena di persistenza.