Databrud

Windows 11 dræber WMIC, ransomwarens foretrukne living-off-land-værktøj

14. september 20264 min læsning

By David Nakamura — Baggrund inden for sikkerhedsværktøjer og full-stack udvikling

Windows 11 dræber WMIC, ransomwarens foretrukne living-off-land-værktøj

Windows 11 pensionerer endelig et værktøj, som ransomware elskede at misbruge

Microsofts seneste obligatoriske Windows 11-opdatering har fjernet WMIC, værktøjet Windows Management Instrumentation Command-line, én gang for alle. Hvis navnet ikke siger dig noget, er du ikke alene. WMIC var et årtier gammelt administrativt værktøj, mest kendt af IT-professionelle og systemadministratorer i virksomheder. Men fjernelsen af WMIC har betydning langt ud over virksomhedsnetværk, fordi det samme værktøj, som gjorde livet lettere for sysadmins, også gjorde livet lettere for ransomware-bander, og enhver forbruger-PC, der kører en ældre eller uadministreret Windows-version, kan teoretisk set være udsat for det samme misbrug.

Hvad er WMIC, og hvorfor elskede angriberne det

WMIC gav brugere og scripts kommandolinjeadgang til dybdegående systemoplysninger og -kontroller: processer, tjenester, diske og konfigurationsindstillinger. For legitime administratorer gjorde det det til en bekvem måde at administrere maskiner i stor skala uden at åbne en grafisk brugerflade. For angribere var det noget helt andet: et indbygget, betroet værktøj, der allerede fandtes på operativsystemet, og som kunne bruges til at deaktivere sikkerhedssoftware, slette shadow copy-backups, som ellers ville lade ofre gendanne krypterede filer, og bevæge sig lateralet gennem et netværk, alt sammen uden at skulle placere nye, let opdagede malware-binærer på systemet.

Dette er, hvad sikkerhedsforskere kalder en "living off the land"-teknik. I stedet for at installere oplagte ondsindede værktøjer, som antivirussoftware måske opdager, genbruger angribere native Windows-værktøjer, der allerede er whitelistet og betroet som standard. WMIC var i årevis blevet flagget i trusselsrapporter som en af de mere pålidelige muligheder for denne form for misbrug, især i ransomware-kampagner, der havde brug for at udslette et offers evne til at gendanne deres egne data, før krypteringen begyndte.

Den obligatoriske opdatering, der fjerner det fuldstændigt

Med denne uges opdatering er WMIC ikke længere tilgængeligt som en Feature on Demand i Windows 11. Microsoft havde allerede fjernet værktøjet fra beta-builds tidligere på året for at teste ændringen, før den blev rullet bredt ud, og den obligatoriske udgivelse gør nu denne fjernelse permanent for almindelige brugere. Microsoft har været tydelige om, at dette er bevidst hærdning, ikke en fejl eller en forglemmelse.

Bemærkelsesværdigt er det, at Microsoft tilbyder en midlertidig downloadbar WMIC-pakke til organisationer, der stadig er afhængige af gamle scripts eller scenarier med bagudkompatibilitet. Men virksomhedens vejledning er klar: gendan det ikke, medmindre du absolut skal. Geninstallation af WMIC åbner den samme dør, som angribere har gået igennem i årevis, og Microsoft vil hellere have, at virksomheder migrerer til deres moderne erstatning, WMI-baserede PowerShell-cmdlets, end at holde det gamle værktøj i live af bekvemmelighedshensyn.

Dette passer ind i et bredere mønster, hvor Microsoft strammer sin sikkerhedsposition i hele Windows-økosystemet. Tidligere på året håndterede virksomheden også en usædvanligt stor batch af sårbarheder i sin rekordsættende Patch Tuesday-udgivelse, som inkluderede to aktivt udnyttede zero-days. At fjerne hele angrebsflader, som WMIC, i stedet for blot at patche enkelte fejl én ad gangen, er en mere permanent måde at reducere risikoen på tværs af millioner af enheder på én gang.

Hvad betyder det for dig

Hvis du er en privat bruger, der aldrig har åbnet en kommandoprompt, ændrer fjernelsen af WMIC sandsynligvis intet ved din dagligdag. Du vil ikke bemærke dets fravær, fordi du aldrig brugte det direkte. Det, du bør bemærke, er det underliggende budskab: Microsoft identificerer aktivt værktøjer med en lang historie med kriminel misbrug og trækker dem helt ud af operativsystemet i stedet for blot at fortælle brugerne, at de skal være forsigtige.

For ejere af små virksomheder, IT-personale eller alle, der kører gamle scripts, som refererer til WMIC, er denne opdatering værd at tjekke, før du anvender den bredt. Test dine automatiserings- og administrationsscripts i et ikke-produktionsmiljø først. Hvis noget går i stykker, bør du undersøge muligheden for at migrere til de moderne PowerShell-baserede WMI-cmdlets, som Microsoft anbefaler, i stedet for at falde tilbage på den midlertidige WMIC-downloadpakke, som er ment som en bro, ikke en langsigtet løsning.

For alle andre er den egentlige pointe en påmindelse om, at ransomware ikke altid er afhængig af prangende ny malware. Ofte udnytter det de værktøjer, der allerede ligger stille på dit system. At holde Windows opdateret, undgå unødig geninstallation af forældede komponenter og være opmærksom på sikkerhedsbulletiner er stadig nogle af de enkleste måder at være på forkant med disse trusler.

Handlingsorienterede konklusioner

Lad den obligatoriske Windows 11-opdatering installere normalt; geninstaller ikke WMIC manuelt, medmindre en specifik gammel applikation kræver det.
Hvis du administrerer forretningssystemer, bør du nu gennemgå scripts for WMIC-afhængigheder og planlægge en migrering til PowerShell-baserede WMI-alternativer.
Betragt Microsofts midlertidige WMIC-downloadpakke som en kortvarig kompatibilitetsbro, ikke en permanent løsning.
Hold automatiske opdateringer aktiveret, så fremtidige sikkerhedshærdningsændringer som denne når din enhed uden forsinkelse.
Hold dig informeret om bredere patch-cyklusser, da fjernelser som WMIC-fjernelsen ofte ledsager større bestræbelser på at lukke værktøjer, som angribere historisk set har misbrugt.

// FAQ

Hvad er WMIC?

WMIC var værktøjet Windows Management Instrumentation Command-line, et årtier gammelt administrativt værktøj, mest kendt af IT-professionelle og systemadministratorer i virksomheder. Det gav brugere og scripts kommandolinjeadgang til dybdegående systemoplysninger og -kontroller såsom processer, tjenester, diske og konfigurationsindstillinger.

Hvorfor elskede ransomware-angribere WMIC?

Angribere kunne misbruge WMIC som et indbygget, betroet værktøj til at deaktivere sikkerhedssoftware, slette shadow copy-backups og bevæge sig lateralet gennem et netværk uden at placere nye malware-binærer. Det gjorde det til en pålidelig living-off-the-land-teknik, der allerede var whitelistet og betroet som standard.

Hvad gjorde den seneste Windows 11-opdatering ved WMIC?

Microsofts seneste obligatoriske Windows 11-opdatering fjernede WMIC, så det ikke længere er tilgængeligt som en Feature on Demand. Microsoft siger, at dette er bevidst hærdning, ikke en fejl eller en forglemmelse.

Kan organisationer stadig gendanne WMIC, hvis de er afhængige af det?

Microsoft tilbyder en midlertidig downloadbar WMIC-pakke til organisationer, der stadig er afhængige af gamle scripts eller scenarier med bagudkompatibilitet. Men vejledningen er ikke at gendanne det, medmindre det er absolut nødvendigt, fordi geninstallation af WMIC åbner den samme sikkerhedsdør, som angribere har brugt.

Hvad bør organisationer bruge i stedet for WMIC?

Microsoft vil have virksomheder til at migrere til WMI-baserede PowerShell-cmdlets i stedet for at holde det gamle WMIC-værktøj i live af bekvemmelighedshensyn. Dette passer ind i et bredere mønster, hvor Microsoft strammer sikkerheden i hele Windows-økosystemet.