WMI事件订阅排查实战：持久化后门清除
WMI事件订阅后门排查：三张表枚举脚本、基线指纹比对、Sysmon 记录、正确删除顺序与 ACL 防重建，附 5861 事件取证与复发处置。
持久化
NetamLoader 借 AppDomainManager 注入，潜伏政府定制版 Windows 10
卡巴斯基披露一套针对亚洲政府专用 Windows 10 定制版的植入链：CAB 包塞进系统更新缓存目录，用 AppDomainManager 注入逐层解包，回连域名为 openaigpt4v[.]com。
TASK#STOMP 后门滥用系统自带组件，窃取文档与 Wi-Fi 密码
Securonix 披露 Windows 后门 TASK#STOMP：用 VBScript 安装器注册四条伪装成系统服务的计划任务，再用两个隐藏 PowerShell 模块窃取商业文档、Wi-Fi 明文密码与剪贴板内容，并接受远程命令。