Databrudd

Windows 11 fjerner WMIC, ransomware-skapernes favorittverktøy for «living off the land»

14. september 20264 min lesing

By David Nakamura — Bakgrunn innen sikkerhetsverktøy og full-stack-utvikling

Windows 11 fjerner WMIC, ransomware-skapernes favorittverktøy for «living off the land»

Windows 11 pensjonerer endelig et verktøy ransomware elsket å misbruke

Microsofts nyeste obligatoriske Windows 11-oppdatering har fjernet WMIC, kommandolinjeverktøyet for Windows Management Instrumentation, en gang for alle. Hvis det navnet ikke sier deg noe, er du ikke alene. WMIC var et flere tiår gammelt administrasjonsverktøy mest kjent blant IT-profesjonelle og bedriftssystemadministratorer. Men fjerningen av WMIC har betydning langt utover bedriftsnettverk, fordi det samme verktøyet som gjorde livet enklere for systemadministratorer også gjorde livet enklere for ransomware-gjenger, og enhver forbruker-PC som kjører en eldre eller uadministrert Windows-versjon kan i teorien være utsatt for det samme misbruket.

Hva er WMIC, og hvorfor angripere elsket det

WMIC ga brukere og skript kommandolinjetilgang til dyp systeminformasjon og kontroll: prosesser, tjenester, disker og konfigurasjonsinnstillinger. For legitime administratorer gjorde det det til en praktisk måte å administrere maskiner i stor skala uten å åpne et grafisk grensesnitt. For angripere var det noe helt annet: et innebygd, klarert verktøy som allerede fantes på operativsystemet, og som kunne brukes til å deaktivere sikkerhetsprogramvare, slette skyggekopisikkerhetskopier som ellers ville la ofre gjenopprette krypterte filer, og bevege seg sidelengs i et nettverk – alt uten å måtte slippe nye, lett oppdagbare skadelige binærfiler inn på systemet.

Dette er det sikkerhetsforskere kaller en «living off the land»-teknikk. I stedet for å installere åpenbare skadelige verktøy som antivirusprogramvare kan fange opp, gjenbruker angripere innebygde Windows-verktøy som allerede er hvitelistet og klarert som standard. WMIC hadde i årevis blitt flagget i trusselrapporter som et av de mer pålitelige alternativene for denne typen misbruk, særlig i ransomware-kampanjer som trengte å utslette offerets evne til å gjenopprette sine egne data før krypteringen begynte.

Den obligatoriske oppdateringen som fjerner det fullstendig

Med ukens oppdatering er WMIC ikke lenger tilgjengelig som en Feature on Demand i Windows 11. Microsoft hadde allerede fjernet verktøyet fra betaversjoner tidligere i år for å teste endringen før den ble rullet ut bredt, og den obligatoriske utgivelsen gjør nå fjerningen permanent for vanlige brukere. Microsoft har vært tydelige på at dette er bevisst herding, ikke en feil eller en forglemmelse.

Merk at Microsoft tilbyr en midlertidig nedlastbar WMIC-pakke for organisasjoner som fortsatt er avhengige av gamle skript eller scenarier for eldre kompatibilitet. Men selskapets veiledning er direkte: ikke gjenopprett det med mindre du absolutt må. Å installere WMIC på nytt åpner den samme døren som angripere har gått gjennom i årevis, og Microsoft vil heller at bedrifter migrerer til sin moderne erstatning, WMI-baserte PowerShell-cmdlets, enn å holde det eldre verktøyet i live av bekvemmelighetshensyn.

Dette passer inn i et bredere mønster der Microsoft strammer inn sikkerhetsholdningen sin på tvers av Windows-økosystemet. Tidligere i år håndterte selskapet også en uvanlig stor mengde sårbarheter i sin rekordstore Patch Tuesday-utgivelse, som inkluderte to aktivt utnyttede zero-days. Å fjerne hele angrepsflater, som WMIC, i stedet for bare å lappe enkeltsårbarheter én om gangen, er en mer permanent måte å redusere risiko på tvers av millioner av enheter samtidig.

Hva dette betyr for deg

Hvis du er en hjemmebruker som aldri har åpnet en kommandoprompt, endrer sannsynligvis fjerningen av WMIC ingenting i hverdagen din. Du vil ikke merke at det er borte, fordi du aldri brukte det direkte. Det du bør merke deg, er budskapet under: Microsoft identifiserer aktivt verktøy med en lang historie med kriminell misbruk og fjerner dem helt fra operativsystemet, i stedet for bare å be brukere være forsiktige.

For småbedriftseiere, IT-ansatte eller alle som kjører eldre skript som refererer til WMIC, er denne oppdateringen verdt å sjekke før du bruker den bredt. Test automatiserings- og administrasjonsskriptene dine i et ikke-produksjonsmiljø først. Hvis noe slutter å fungere, undersøk migrering til de moderne PowerShell-baserte WMI-cmdletene Microsoft anbefaler, i stedet for å falle tilbake på den midlertidige WMIC-nedlastingspakken, som er ment som en bro, ikke en langsiktig løsning.

For alle andre er den virkelige lærdommen en påminnelse om at ransomware ikke alltid er avhengig av fancy ny skadevare. Ofte utnytter det verktøyene som allerede ligger stille på systemet ditt. Å holde Windows oppdatert, unngå unødvendig reinstallering av utdaterte eldre komponenter og følge med på sikkerhetsbulletiner er fortsatt noen av de enkleste måtene å ligge i forkant av disse truslene.

Handlingsrettede punkter

La den obligatoriske Windows 11-oppdateringen installeres normalt; ikke installer WMIC manuelt på nytt med mindre en spesifikk eldre applikasjon krever det.
Hvis du administrerer forretningssystemer, revider skript for WMIC-avhengigheter nå og planlegg en migrering til PowerShell-baserte WMI-alternativer.
Behandle Microsofts midlertidige WMIC-nedlastingspakke som en kortsiktig kompatibilitetsbro, ikke en permanent løsning.
Hold automatiske oppdateringer på, slik at fremtidige sikkerhetsherdinger som denne når enheten din uten forsinkelse.
Hold deg informert om bredere oppdateringssykluser, siden fjerninger som WMIC-fjerningen ofte følger større innsats for å stenge verktøy angripere historisk har misbrukt.

// FAQ

Hva er WMIC?

WMIC var kommandolinjeverktøyet for Windows Management Instrumentation, et flere tiår gammelt administrasjonsverktøy mest kjent blant IT-profesjonelle og bedriftssystemadministratorer. Det ga brukere og skript kommandolinjetilgang til dyp systeminformasjon og kontroll, som prosesser, tjenester, disker og konfigurasjonsinnstillinger.

Hvorfor elsket ransomware-angripere WMIC?

Angripere kunne misbruke WMIC som et innebygd, klarert verktøy til å deaktivere sikkerhetsprogramvare, slette skyggekopisikkerhetskopier og bevege seg sidelengs i et nettverk uten å slippe inn nye skadelige binærfiler. Dette gjorde det til en pålitelig «living off the land»-teknikk som allerede var hvitelistet og klarert som standard.

Hva gjorde den nyeste Windows 11-oppdateringen med WMIC?

Microsofts nyeste obligatoriske Windows 11-oppdatering fjernet WMIC, så det er ikke lenger tilgjengelig som en Feature on Demand. Microsoft sier dette er bevisst herding, ikke en feil eller en forglemmelse.

Kan organisasjoner fortsatt gjenopprette WMIC hvis de er avhengige av det?

Microsoft tilbyr en midlertidig nedlastbar WMIC-pakke for organisasjoner som fortsatt er avhengige av gamle skript eller scenarier for eldre kompatibilitet. Men veiledningen er å ikke gjenopprette det med mindre det er absolutt nødvendig, fordi reinstallering av WMIC åpner den samme sikkerhetsdøren angripere har brukt.

Hva bør organisasjoner bruke i stedet for WMIC?

Microsoft vil at bedrifter skal migrere til WMI-baserte PowerShell-cmdlets i stedet for å holde det eldre WMIC-verktøyet i live av bekvemmelighetshensyn. Dette passer inn i et bredere mønster der Microsoft strammer inn sikkerheten på tvers av Windows-økosystemet.