WinRM (Windows Remote Management) — это компонент операционной системы Windows, который позволяет управлять удалёнными компьютерами, получать информацию о них и исполнять команды на них.

WinRM является реализацией протокола WS-Management, предназначенного для управления различными устройствами при помощи SOAP-запросов.

Запускается и работает в контексте процесса svchost.exe -k NetworkServices -p -s WinRM.
Поддерживает следующие механизмы аутентификации:

- Basic
- Digest
- NTLM
- Kerberos
- SSl-серт
- CredSSP (для делегирования учетных данных на сервер, который может их использовать для выполнения задач на удаленных компьютерах.)

Легитимно в зависимости от выбранного способа запускает один из провайдеров:

- wsmprovhost.exe
- winrshost.exe
- wmiprvse.exe

Родителем станет svchost.exe

Хантинг:
В сценарии с подключением к рабочей станции и выполнении команд, с загрузкой файла и его запуском будет такая картина:
4672, 4624 (Security.evtx) говорящие о том что юзер осуществил вход и
4688 (Security.evtx) и 91 (Microsoft-Windows-WinRM%4Operational.evtx) - запуск выше оговоренного провайдера
Далее идут события запусков процессов от ранее запущенного провайдера - 4688 (Security.evtx) Тут выполняется запуск команд. (например wsmprovhost.exe -> cmd.exe)
В зависимости от того, что конкретно выполняются появятся события запуска командлетов
4103, 4104 (Microsoft-Windows-PowerShell%4Operational.evtx)
И сам запуск файла это опять же 4688 от процесса провайдера (wsmprovhost.exe -> capybara.exe)

Так же есть параметр реестра WSManSafeClientList -> HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\SafeClientList
В нем хранятся Hexы ip адресов IPv4 & IPv6 последних 10 подключений по 16 байт на каждый.