Una sottoscrizione di eventi WMI è una funzionalità di Windows che consente al software di reagire agli eventi di sistema. Nell'amministrazione legittima, può avviare script o azioni di gestione quando un processo si avvia, un utente effettua l'accesso o scatta un timer. Negli internals di Windows, gli attaccanti spesso abusano delle sottoscrizioni di eventi WMI permanenti per creare persistenza: registrano un filtro di eventi, un consumer e un binding, così che il codice venga eseguito automaticamente quando si verifica l'evento scelto.
Questo è importante perché può sopravvivere ai riavvii e potrebbe non sembrare una normale voce di avvio automatico o un'attività pianificata. I difensori lo usano per le attività di hunting controllando nel repository WMI la presenza di filtri, consumer e binding insoliti, soprattutto quelli che avviano PowerShell, host di scripting o binari da percorsi anomali. Monitorare la creazione di nuovi oggetti di sottoscrizione WMI e correlarli con l'attività degli amministratori aiuta a individuare tempestivamente questa tecnica.