Microsoft usuwa narzędzie WMIC z systemu Windows 11 w celu walki z oprogramowaniem ransomware

Microsoft usunął narzędzie WMIC z systemu Windows 11 w ramach aktualizacji wymuszonej w tym tygodniu.

Narzędzie Windows Management Instrumentation Command-line, znane jako WMIC, jest legalnym narzędziem wiersza poleceń służącym do odpytywania i zarządzania komputerami poprzez Windows Management Instrumentation. Przez dziesięciolecia było ono preinstalowane w wersjach konsumenckich systemu Windows, aby umożliwić automatyzację operacji oraz zarządzanie systemem, co było szczególnie istotne dla użytkowników korporacyjnych.

Decyzja o wycofaniu WMIC została ogłoszona już w maju 2021 roku wraz z wydaniem wersji Windows 10 21H1, jednak narzędzie pozostało dostępne jako funkcja na żądanie. Całkowite usunięcie komponentu nastąpiło wraz z wydaniem poprawki KB5124008 dla systemu Windows 11 we wrześniu 2026 roku. Po instalacji tej aktualizacji system zostaje zaktualizowany do wersji Build 26200.9445 lub wyższej, a próba uruchomienia polecenia WMIC w terminalu kończy się błędem informującym, że polecenie nie jest rozpoznawane.

Usunięcie tego narzędzia ma na celu zablokowanie taktyk stosowanych przez oprogramowanie ransomware, które masowo nadużywało WMIC. Atakujący wykorzystywali to narzędzie do usuwania kopii w cieniu systemu Windows, co uniemożliwia użytkownikom przywrócenie poprzednich wersji plików i danych po zaszyfrowaniu ich przez złośliwe oprogramowanie. Raporty potwierdzają, że z WMIC korzystały rodziny ransomware takie jak TeslaCrypt 4.1b, Serpent, WhiteRose, Zenis oraz Saturn. Podobny mechanizm usuwania kopii w cieniu i wyłączania funkcji odzyskiwania systemu był stosowany przez oprogramowanie WannaCry.

WMIC było również wykorzystywane do zakłócania działania zabezpieczeń antywirusowych. Przykładowo, trojany mogły sprawdzać, czy Windows Defender jest uruchomiony, a następnie dodawać siebie do listy wykluczeń. W 2021 roku oprogramowanie ransomware DeroHE w podobny sposób wykorzystywało polecenia WMIC do modyfikacji ustawień Windows Defender.

Microsoft ostrzega użytkowników przed samodzielnym przywracaniem tego narzędzia. Choć firma udostępnia pakiet instalacyjny dla organizacji, których skrypty i aplikacje wciąż zależą od WMIC, jest to rozwiązanie tymczasowe. Producent zaleca migrację do oficjalnie wspieranych alternatyw i ostrzega, aby nie instalować WMIC na prośbę nieznanych stron internetowych lub oprogramowania zewnętrznego.