Windows 11 w końcu wycofuje narzędzie, które ransomware uwielbiało wykorzystywać

Najnowsza obowiązkowa aktualizacja Windows 11 firmy Microsoft usunęła WMIC, narzędzie wiersza poleceń Instrumentacji Zarządzania Windows, raz na zawsze. Jeśli ta nazwa nic ci nie mówi, nie jesteś sam. WMIC było liczącym dziesięciolecia narzędziem administracyjnym znanym głównie specjalistom IT i administratorom systemów korporacyjnych. Jednak usunięcie WMIC ma znaczenie znacznie wykraczające poza sieci korporacyjne, ponieważ to samo narzędzie, które ułatwiało życie administratorom systemów, ułatwiało również życie gangom ransomware, a każdy komputer konsumencki z starszą lub niezarządzaną wersją Windows mógł teoretycznie być narażony na takie samo nadużycie.

Czym jest WMIC i dlaczego atakujący je uwielbiali

WMIC dawało użytkownikom i skryptom dostęp z wiersza poleceń do szczegółowych informacji o systemie i mechanizmów sterowania: procesów, usług, dysków i ustawień konfiguracyjnych. Dla legalnych administratorów było to wygodne narzędzie do zarządzania maszynami na dużą skalę bez otwierania interfejsu graficznego. Dla atakujących było czymś zupełnie innym: wbudowanym, zaufanym narzędziem już obecnym w systemie operacyjnym, które można było wykorzystać do wyłączania oprogramowania zabezpieczającego, usuwania kopii zapasowych woluminów shadow copy, które w przeciwnym razie pozwoliłyby ofiarom odzyskać zaszyfrowane pliki, oraz do przemieszczania się bocznego w sieci — wszystko bez konieczności wprowadzania nowych, łatwo wykrywalnych binariów złośliwego oprogramowania do systemu.

To właśnie badacze bezpieczeństwa nazywają techniką „living off the land". Zamiast instalować oczywiste złośliwe narzędzia, które oprogramowanie antywirusowe mogłoby wykryć, atakujący wykorzystują natywne narzędzia Windows, które są już domyślnie na białej liście i zaufane. WMIC było od lat wymieniane w raportach o zagrożeniach jako jedna z bardziej niezawodnych opcji tego rodzaju nadużyć, szczególnie w kampaniach ransomware, które musiały zniszczyć zdolność ofiary do przywrócenia własnych danych przed rozpoczęciem szyfrowania.

Obowiązkowa aktualizacja, która usuwa je całkowicie

Wraz z tegoroczną aktualizacją WMIC nie jest już dostępne jako funkcja na żądanie w Windows 11. Microsoft już wcześniej usunął to narzędzie z kompilacji beta na początku tego roku, aby przetestować zmianę przed szerokim wdrożeniem, a obowiązkowe wydanie czyni teraz to usunięcie trwałym dla zwykłych użytkowników. Microsoft jasno stwierdził, że jest to celowe wzmocnienie zabezpieczeń, a nie błąd ani przeoczenie.

Co istotne, Microsoft oferuje tymczasowy pakiet WMIC do pobrania dla organizacji, które nadal polegają na starych skryptach lub scenariuszach zgodności ze starszymi systemami. Jednak wytyczne firmy są jednoznaczne: nie przywracaj go, chyba że absolutnie musisz. Ponowna instalacja WMIC otwiera te same drzwi, przez które atakujący przechodzili przez lata, a Microsoft wolałby, aby firmy przeszły na nowoczesny zamiennik — polecenia cmdlet programu PowerShell oparte na WMI — niż utrzymywały przestarzałe narzędzie przy życiu dla wygody.

Wpisuje się to w szerszy wzorzec zaostrzania przez Microsoft swojego podejścia do bezpieczeństwa w całym ekosystemie Windows. Na początku tego roku firma poradziła sobie również z nietypowo dużym zestawem luk w zabezpieczeniach w swoim rekordowym wydaniu Patch Tuesday, które obejmowało dwa aktywnie wykorzystywane luki dnia zerowego. Usuwanie całych powierzchni ataku, takich jak WMIC, zamiast jedynie łatania pojedynczych błędów jeden po drugim, jest trwalszym sposobem na zmniejszenie ryzyka na milionach urządzeń jednocześnie.

Co to oznacza dla ciebie

Jeśli jesteś użytkownikiem domowym, który nigdy nie otwierał wiersza poleceń, usunięcie WMIC prawdopodobnie nic nie zmienia w twoim codziennym doświadczeniu. Nie zauważysz jego braku, ponieważ nigdy nie używałeś go bezpośrednio. To, co powinieneś zauważyć, to ukryte przesłanie: Microsoft aktywnie identyfikuje narzędzia o długiej historii przestępczego nadużywania i usuwa je z systemu operacyjnego całkowicie, zamiast jedynie mówić użytkownikom, aby byli ostrożni.

Dla właścicieli małych firm, pracowników IT lub kogokolwiek, kto uruchamia stare skrypty odwołujące się do WMIC, ta aktualizacja jest warta sprawdzenia przed szerokim zastosowaniem. Najpierw przetestuj swoje skrypty automatyzacji i zarządzania w środowisku nieprodukcyjnym. Jeśli coś przestanie działać, rozważ migrację na nowoczesne polecenia cmdlet WMI oparte na programie PowerShell, które zaleca Microsoft, zamiast wracać do tymczasowego pakietu WMIC do pobrania, który ma służyć jako pomost, a nie długoterminowe rozwiązanie.

Dla wszystkich pozostałych prawdziwym wnioskiem jest przypomnienie, że ransomware nie zawsze polega na efektownym nowym złośliwym oprogramowaniu. Często wykorzystuje narzędzia, które już cicho siedzą w twoim systemie. Utrzymywanie Windows w aktualnym stanie, unikanie niepotrzebnej ponownej instalacji przestarzałych komponentów oraz zwracanie uwagi na biuletyny bezpieczeństwa to nadal jedne z najprostszych sposobów na wyprzedzenie tych zagrożeń.

Praktyczne wnioski

  • Pozwól obowiązkowej aktualizacji Windows 11 zainstalować się normalnie; nie instaluj ręcznie WMIC, chyba że wymaga tego konkretna starsza aplikacja.
  • Jeśli zarządzasz systemami biznesowymi, przeaudytuj skrypty pod kątem zależności od WMIC już teraz i zaplanuj migrację na alternatywy WMI oparte na programie PowerShell.
  • Traktuj tymczasowy pakiet WMIC do pobrania od Microsoftu jako krótkoterminowy pomost zgodności, a nie stałe rozwiązanie.
  • Utrzymuj automatyczne aktualizacje włączone, aby przyszłe zmiany wzmacniające bezpieczeństwo, takie jak ta, docierały do twojego urządzenia bez opóźnień.
  • Bądź na bieżąco z szerszymi cyklami poprawek, ponieważ usunięcia takie jak usunięcie WMIC często towarzyszą większym wysiłkom zamykania narzędzi, które atakujący historycznie nadużywali.