Windows 11 업데이트로 WMIC 도구 완전 제거, 재설치 자제 권고

마이크로소프트가 2026년 9월 배포한 Windows 11 강제 업데이트를 통해 WMIC 도구를 완전히 제거했다. 이번 조치는 해당 도구가 랜섬웨어 공격에 악용되는 사례가 빈번했기 때문이다. 마이크로소프트는 사용자가 WMIC를 다시 설치하지 말고, 공식적으로 지원되는 대안으로 전환할 것을 권고하고 있다.

WMIC는 Windows Management Instrumentation Command-line의 약자로, 수십 년간 Windows 시스템에 포함된 합법적인 명령줄 도구이다. 이 도구는 기업 IT 부서와 자동화 작업을 수행하는 사용자가 Windows 컴퓨터를 조회하고 관리하는 데 사용되어 왔다. 소비자에게 제공되는 Windows 버전에도 기본 설치되어 있어, 기업 환경이 아닌 일반 가정 사용자도 잠재적 위협에 노출될 수 있었다.

마이크로소프트는 2021년 5월 Windows 10 21H1 버전 출시 당시 WMIC의 비공식화를 발표했으나, 당시에는 온디맨드 기능으로 유지되었다. 2026년 9월 KB5124008 업데이트 패치가 배포되면서 WMIC는 온디맨드 기능에서도 완전히 삭제되었다. 해당 업데이트를 설치하면 시스템 내부 버전이 26200.9445로 상승하며, 이 버전 이상에서는 WMIC 명령을 입력할 경우 명령을 인식하지 못한다는 오류 메시지가 표시된다. 이 업데이트는 WMIC 제거 외에도 수백 개의 고위험 보안 취약점을 수정한다.

WMIC를 악용한 공격은 일반 사용자에게도 심각한 피해를 초래한다. 가장 흔한 공격 방식은 Windows 볼륨 섀도우 복사본을 삭제하는 것이다. Windows는 파일의 이전 버전 복구를 위해 볼륨 섀도우 복사본을 자동 생성하며, 시스템 복구 기능은 이 메커니즘에 의존한다. 공격자는 WMIC를 이용해 볼륨 섀도우 복사본을 삭제한 후 랜섬웨어로 파일을 암호화하면, 사용자가 시스템을 이전 상태로 되돌리거나 데이터를 복구하기 매우 어려워진다. TeslaCrypt 4.1b를 비롯한 Serpent, WhiteRose, Zenis, Saturn 등 여러 랜섬웨어 패밀리가 WMIC를 악용한 사례가 보고되었다. 악명 높은 WannaCry 랜섬웨어 역시 WMIC를 호출하여 볼륨 섀도우 복사본을 삭제하고 Windows 시작 복구 기능을 비활성화하며 백업 정보를 지우는 명령을 사용했다. WMIC 자체가 초기 감염을 유발하는 것은 아니지만, 이 도구가 시스템에 존재하는 한 랜섬웨어가 이를 악용하여 파괴적인 행위를 수행할 수 있다.

WMIC는 Windows Defender와 같은 보안 소프트웨어를 방해하는 데도 사용된다. 일부 트로이목마는 WMIC를 통해 Defender가 실행 중인지 확인한 후, 자신을 Defender의 제외 목록에 추가한다. 2021년 WMIC 비공식화 발표와 같은 해에 DeroHE 랜섬웨어가 포럼을 통해 유포되었는데, 이 악성 프로그램 역시 WMIC 명령을 사용하여 Defender 제외 항목을 추가했다. WMIC의 제거는 이 도구에 의존하는 일부 공격 전술과 랜섬웨어 전략을 직접적으로 무력화시킨다. 공격자는 이제 대체 수단을 찾아야 하거나, 사용자를 속여 WMIC를 재설치하도록 유도해야 한다.

마이크로소프트는 WMIC에 여전히 의존하는 애플리케이션, 스크립트 및 워크플로우는 지원되는 대안으로 마이그레이션해야 한다고 강조한다. 지원 문서에는 WMIC를 수동으로 복원할 수 있는 다운로드 패키지가 제공되지만, 이는 해당 도구에 의존하는 애플리케이션이나 비즈니스 프로세스와의 호환성을 위한 임시 조치로만 사용해야 한다고 명시되어 있다. WMIC의 용도를 모르는 사용자는 설치할 필요가 없으며, 제3자 소프트웨어나 신뢰할 수 없는 사이트가 WMIC 다운로드를 요구할 경우 경계해야 한다. 마이크로소프트는 WMIC를 강제 재설치하려는 사용자에게 이 임시 해결책을 조속히 중단할 것을 경고했다.