Windows 11がついにランサムウェアに悪用されてきたツールを引退させる

Microsoftの最新の必須Windows 11アップデートにより、Windows Management InstrumentationコマンドラインツールであるWMICが完全に削除されました。この名前を聞いてもピンとこない方も多いでしょう。WMICは数十年前からある管理ユーティリティで、主にITプロフェッショナルや企業のシステム管理者に知られていました。しかし、WMICの削除は企業ネットワークにとどまらない重要性を持ちます。なぜなら、システム管理者の生活を楽にしたのと同じツールが、ランサムウェアギャングの生活も楽にしていたからです。古い、あるいは管理されていないWindowsビルドを実行している消費者向けPCも、理論的には同じ悪用にさらされる可能性があります。

WMICとは何か、なぜ攻撃者に愛されたのか

WMICは、ユーザーとスクリプトにプロセス、サービス、ディスク、構成設定といった深いシステム情報と制御へのコマンドラインアクセスを提供しました。正規の管理者にとっては、グラフィカルインターフェースを開かずにマシンを大規模に管理する便利な方法でした。攻撃者にとっては、まったく別のものでした。OSにすでに存在する、信頼された組み込みツールであり、セキュリティソフトウェアを無効化し、暗号化されたファイルの復元を可能にするシャドウコピーバックアップを削除し、ネットワーク全体を横断移動することができ、しかも検出されやすい新しいマルウェアバイナリをシステムに落とす必要がありませんでした。

これがセキュリティ研究者の言う「living off the land」手法です。ウイルス対策ソフトが検出するかもしれない明らかな悪意あるツールをインストールする代わりに、攻撃者はデフォルトでホワイトリストに登録され信頼されているネイティブのWindowsユーティリティを転用します。WMICは何年もの間、脅威レポートでこの種の悪用においてより信頼できる選択肢の一つとして指摘されており、特に暗号化が始まる前に被害者が自分のデータを復元する能力を消し去る必要があるランサムウェアキャンペーンでよく使われていました。

完全に削除する必須アップデート

今週のアップデートにより、WMICはWindows 11のFeatures on Demandとして利用できなくなりました。Microsoftはすでに今年初めにベータビルドからこのツールを削除し、広く展開する前に変更をテストしていましたが、今回の必須リリースにより、一般ユーザー向けにその削除が恒久的なものとなりました。Microsoftはこれが意図的なハードニングであり、バグや見落としではないと明確にしています。

注目すべきは、Microsoftが古いスクリプトやレガシー互換性シナリオに依存している組織向けに、一時的にダウンロード可能なWMICパッケージを提供していることです。しかし、同社のガイダンスは率直です。絶対に必要な場合以外は復元しないでください。WMICを再インストールすると、攻撃者が何年も通り抜けてきた同じ扉が再び開かれます。Microsoftは、利便性のためにレガシーツールを存続させるよりも、企業が最新の代替手段であるWMIベースのPowerShellコマンドレットに移行することを望んでいます。

これは、MicrosoftがWindowsエコシステム全体でセキュリティ態勢を強化している広範なパターンの一部です。今年初め、同社は記録的なPatch Tuesdayリリースで異常に大量の脆弱性に対処しました。これには2つの活発に悪用されているゼロデイが含まれていました。個々のバグを一つずつパッチするのではなく、WMICのような攻撃対象領域全体を削除することは、何百万ものデバイスにわたってリスクを一度に減らす、より恒久的な方法です。

これがあなたにとって何を意味するか

コマンドプロンプトを一度も開いたことがない家庭ユーザーなら、WMICの削除は日常的な体験を何も変えないでしょう。直接使ったことがないので、その不在に気づくことはありません。気づくべきは、その根底にあるメッセージです。Microsoftは、犯罪目的での悪用の長い歴史を持つツールを積極的に特定し、ユーザーに注意するよう伝えるだけでなく、OSから完全に取り除いています。

中小企業のオーナー、ITスタッフ、またはWMICを参照するレガシースクリプトを実行している方は、広く適用する前にこのアップデートを確認する価値があります。まず非本番環境で自動化と管理スクリプトをテストしてください。何かが壊れた場合は、一時的なWMICダウンロードパッケージに頼るのではなく、Microsoftが推奨する最新のPowerShellベースのWMIコマンドレットへの移行を検討してください。これは橋渡しであり、長期的な解決策ではありません。

それ以外のすべての人にとって、本当の教訓は、ランサムウェアが必ずしも派手な新しいマルウェアに依存しているわけではないというリマインダーです。多くの場合、システムに静かに存在するツールを悪用します。Windowsを最新の状態に保ち、非推奨のレガシーコンポーネントを不必要に再インストールすることを避け、セキュリティ速報に注意を払うことは、こうした脅威に先手を打つ最も簡単な方法の一つであり続けています。

実行可能なポイント

  • 必須のWindows 11アップデートは通常どおりインストールさせてください。特定のレガシーアプリケーションが要求しない限り、WMICを手動で再インストールしないでください。
  • ビジネスシステムを管理している場合は、WMIC依存関係についてスクリプトを今すぐ監査し、PowerShellベースのWMI代替手段への移行を計画してください。
  • Microsoftの一時的なWMICダウンロードパッケージは、恒久的な解決策ではなく、短期的な互換性の橋渡しとして扱ってください。
  • 今後のセキュリティハードニングの変更が遅滞なくデバイスに届くよう、自動更新を有効にしておいてください。
  • WMICの削除のような削除は、攻撃者が歴史的に悪用してきたツールを閉ざす大規模な取り組みにしばしば伴うため、より広範なパッチサイクルについて情報を得ておいてください。