Microsoft har tagit bort WMIC från Windows 11 för att stoppa utpressningsprogram

Microsoft har genomfört en obligatorisk uppdatering av Windows 11 som helt tar bort verktyget WMIC, vilket ofta har missbrukats av utpressningsprogram.

WMIC, som står för Windows Management Instrumentation Command-line, är ett legitimt kommandoradsverktyg som använts i årtionden för att fråga och hantera datorer via Windows Management Instrumentation. Verktyget var förinstallerat i konsumentversioner av Windows för att underlätta systemhantering och automatisering, även för användare utanför företagsmiljöer.

Borttagningen sker genom uppdateringspaketet KB5124008 från september 2026. Tidigare, i maj 2021 i samband med Windows 10 21H1, meddelade Microsoft att verktyget skulle fasas ut, men det behölls då som en funktion vid behov. Nu är det helt borttaget och erbjuds inte längre som en sådan funktion. Användare med systemversion Build 26200.9445 eller högre har nu detta skydd, och versionen åtgärdar även över hundra allvarliga säkerhetshål.

Säkerhetsrisken med WMIC innebar att angripare kunde radera volymskuggkopior, vilket är den mekanism Windows använder för att återställa tidigare versioner av filer och personliga data. Om dessa kopior raderas blir det mycket svårt att återställa data efter att ett utpressningsprogram krypterat filerna. Rapporter bekräftar att utpressningsprogram som TeslaCrypt 4.1b, WannaCry samt familjerna Serpent, WhiteRose, Zenis och Saturn har utnyttjat WMIC för detta ändamål.

Utöver radering av säkerhetskopior har WMIC använts för att störa antiviruskydd. Trojaner har använt verktyget för att kontrollera om Windows Defender körs och därefter lägga till sig själva i listan över undantag. Ett exempel är utpressningsprogrammet DeroHE som spreds via forum år 2021 och använde WMIC för att manipulera Defender.

Microsoft avråder användare från att manuellt återinstallera verktyget. Även om ett installationspaket finns tillgängligt via supportdokumentationen för applikationer, skript eller arbetsflöden som fortfarande är beroende av WMIC, betraktas detta endast som en tillfällig kompatibilitetslösning. Microsoft uppmanar användare att istället migrera till officiellt stödda alternativ och varnar för att snabbt sluta använda den tillfälliga lösningen med återinstallation.