На этой неделе обязательное обновление Windows 11 окончательно удалило WMIC, один из инструментов, которым активно пользовались операторы вымогателей. Если вы никогда не работали в корпоративной среде, о WMIC можно было и не слышать, однако риск не ограничивался компаниями. Обычные владельцы ПК тоже могли пострадать, если WMIC был установлен в системе.
WMIC, полное название Windows Management Instrumentation Command-line, десятилетиями входил в состав Windows и сам по себе не относится к вредоносным программам. Это легитимный инструмент командной строки, который позволял пользователям, в основном корпоративным, запрашивать данные и управлять ПК с Windows через Windows Management Instrumentation (WMI). Но его применяли и за пределами IT-отделов, в том числе для управления Windows и автоматизации, поэтому WMIC был предустановлен и в потребительских редакциях.
Microsoft признала WMIC устаревшим с выходом Windows 10 версии 21H1 в мае 2021 года, но инструмент оставался предустановленным как компонент по требованию. С выпуском Windows 11 KB5124008, сентябрьского обновления 2026 года WMIC полностью удалён и больше не доступен как компонент по требованию.
Microsoft рекомендует перенести приложения, скрипты и рабочие процессы, которые всё ещё зависят от WMIC, на поддерживаемые альтернативы, а не возвращать утилиту.
WMIC позволял вымогателям атаковать всех, включая обычных пользователей
Злоупотребления WMIC затрагивали и обычных домашних пользователей. Один из самых распространённых приёмов заключался в удалении теневых копий Windows, также известных как Shadow Volume Copies.
Для тех, кто не знаком с этой функцией: Windows хранит теневые копии, которые позволяют восстановить предыдущие версии файлов, в том числе личных. Функции восстановления Windows тоже построены вокруг более широкой идеи возврата к более раннему состоянию системы.
Злоумышленники, использующие WMIC, могут сначала попытаться удалить теневые копии, чтобы жертва не смогла легко вернуться к прежнему состоянию или восстановить данные после шифрования вымогателем. Это не теоретическая угроза: уже есть достоверные отчёты, что TeslaCrypt 4.1b, один из известных вариантов вымогателей, использовал WMIC для удаления теневых копий с заражённого ПК.
По данным, WMIC также использовали Serpent, WhiteRose, Zenis, Saturn и множество других семейств вымогателей.
Даже печально известный вымогатель WannaCry удалял теневые копии, отключал восстановление запуска Windows и удалял информацию о резервных копиях. Одна из таких команд вызывала WMIC для удаления теневых копий.
WMIC не был причиной исходного заражения WannaCry, однако вымогатели могли использовать легитимный инструмент, уже имевшийся в Windows, если только его не отключили или не удалили вручную.
WMIC также использовали для вмешательства в работу антивирусной защиты Windows. Например, один троян с помощью WMIC проверял, работает ли Windows Defender, а затем добавлял себя в список исключений Defender.
В 2021 году, когда Microsoft объявила WMIC устаревшим, через форумы распространялся вымогатель DeroHE. Он тоже использовал команды WMIC для добавления исключений в Microsoft Defender.
В ходе расследования выяснилось, что удаление WMIC может сразу нарушить некоторые техники атакующих и тактики вымогателей, которые напрямую зависят от этой утилиты. Теперь злоумышленникам нужно искать альтернативу или каким-то образом убедить пользователя снова установить WMIC.
Как проверить, удалён ли WMIC из Windows
Сначала убедитесь, что через Windows Update установлено сентябрьское обновление 2026 года. Оно отображается как Windows 11 KB5124008 и обновляет систему до сборки 26200.9445. Если у вас установлена сборка 26200.9445 или новее, вы защищены. В этой сборке удалён WMIC, а также закрыты сотни серьёзных уязвимостей.
В Windows 11 сборки 26200.9445 и новее при вводе WMIC в терминале или командной строке появится ошибка о том, что команда не распознана. Это подтверждает, что WMIC удалён окончательно.
Раньше команда WMIC выводила краткое описание того, как пользоваться этим инструментом командной строки.
Microsoft советует не восстанавливать WMIC без крайней необходимости
Редакция обнаружила документ поддержки Microsoft, который позволяет восстановить WMIC с помощью загружаемого пакета, но компания прямо указывает, что он предназначен для приложений, скриптов и рабочих процессов, всё ещё зависящих от этой утилиты.
Если вы не знаете, что такое WMIC, устанавливать его вам, скорее всего, не нужно. А если стороннее приложение или ненадёжный сайт вдруг предлагает скачать WMIC, к этому стоит отнестись с большой осторожностью.
Для организаций, которые всё ещё зависят от WMIC, Microsoft предлагает загружаемый пакет как временное решение для совместимости, но рекомендует переходить на поддерживаемые альтернативы.
“Мы рекомендуем как можно скорее отказаться от этого обходного решения”, предупредила Microsoft всех, кто всё ещё планирует принудительно установить WMIC.
Пока нет комментариев. Будьте первым!