Оновлення Windows 11, випущене цього тижня, нарешті видалило WMIC – один з інструментів, який використовувався програмами-вимагачами. Можливо, ви ніколи не чули про WMIC, якщо не працювали в корпоративному середовищі, але ризик не обмежувався лише бізнесом. Звичайні споживачі також могли постраждати, якщо WMIC було встановлено на їхніх ПК.
WMIC, більш відомий як Windows Management Instrumentation Command-line, є частиною Windows протягом десятиліть і сам по собі не є шкідливим програмним забезпеченням. Це легітимний інструмент командного рядка, який дозволяв користувачам, переважно підприємствам, запитувати та керувати ПК з Windows через Windows Management Instrumentation (WMI). Але його також використовували ті, хто не належить до ІТ-відділів, зокрема для керування Windows та автоматизації, тому WMIC був попередньо встановлений і в споживчих версіях.
Microsoft вивела WMIC з експлуатації з випуском Windows 10 версії 21H1 у травні 2021 року, але він залишався попередньо встановленим як “Feature on Demand” (Функція на вимогу). З оновленням Windows 11 KB5124008, Вересневим оновленням 2026 року, WMIC повністю видалено і більше не доступний як “Feature on Demand”.
Microsoft рекомендує мігрувати програми, скрипти та робочі процеси, які все ще залежать від WMIC, на підтримувані альтернативи, а не відновлювати цей інструмент.
WMIC дозволяв програмам-вимагачам атакувати всіх, включно зі споживачами
Зловживання, пов’язані з WMIC, також торкнулися звичайних домашніх користувачів. Однією з найпоширеніших тактик було знищення тіньових копій томів Windows (Shadow Volume Copies).
Для тих, хто не знає, Windows створює тіньові копії томів, які можуть допомогти відновити попередні версії файлів, зокрема особисті. Функції відновлення Windows також побудовані на загальній ідеї відновлення попереднього стану.
Зловмисники, які використовують WMIC, можуть спочатку спробувати видалити тіньові копії томів, щоб унеможливити легке повернення до попереднього стану або відновлення даних після шифрування файлів програмою-вимагачем. І це не лише теорія, адже ми вже бачили достовірні повідомлення про те, що TeslaCrypt 4.1b, один із відомих варіантів програм-вимагачів, використовував WMIC для видалення тіньових копій томів з зараженого ПК.
Windows Latest розуміє, що WMIC також використовувався програмами-вимагачами Serpent, WhiteRose, Zenis, Saturn та багатьма іншими.
Навіть сумнозвісна програма-вимагач WannaCry видаляла тіньові копії томів, вимикала відновлення при запуску Windows і видаляла резервні копії. Одна з команд, що використовувалася, викликала WMIC для видалення тіньових копій.
Ми не стверджуємо, що WMIC спричинив початкове зараження WannaCry, але програми-вимагачі могли зловживати легітимним інструментом, вже наявним у Windows, якщо він не був вручну вимкнений або видалений.
WMIC також використовувався для втручання в антивірусний захист Windows. Наприклад, один троян використовував WMIC, щоб дізнатися, чи працює Захисник Windows, а потім додавав себе до списку виключень Захисника.
У 2021 році, того ж року, коли Microsoft оголосила WMIC застарілим, зловмисники поширювали програму-вимагач DeroHE через форуми. Ця програма-вимагач також використовувала команди WMIC для додавання виключень до Захисника Microsoft.
У нашому розслідуванні Windows Latest виявив, що видалення WMIC може миттєво зірвати деякі техніки зловмисників та тактики програм-вимагачів, які специфічно залежать від цього інструменту. Тепер зловмисникам потрібно знайти альтернативу або якось переконати вас знову встановити WMIC.
Як перевірити, чи видалено WMIC з Windows
Перш за все, переконайтеся, що ви встановили Вересневе оновлення 2026 року через Windows Update. Воно відображається як Windows 11 KB5124008 і оновлює ПК до збірки 26200.9445. Якщо ви використовуєте збірку 26200.9445 або новішу, ви захищені. Ця збірка видаляє WMIC, а також виправляє сотні серйозних проблем безпеки.
У Windows 11 збірки 26200.9445 або новішої, якщо ви відкриєте Термінал/Командний рядок і введете WMIC, ви отримаєте помилку про те, що команда не розпізнається. Це підтверджує, що WMIC зник назавжди.
Раніше, якщо ви використовували команду WMIC, вона показувала коротке описання того, як використовувати цей інструмент командного рядка.
Microsoft радить не відновлювати WMIC, якщо це дійсно не потрібно
Ми знайшли документ підтримки Microsoft, який фактично дозволяє відновити WMIC за допомогою завантажуваного пакета, але компанія чітко зазначає, що це призначено для програм, скриптів або робочих процесів, які все ще залежать від цього інструменту.
Якщо ви не знаєте, що таке WMIC, вам, ймовірно, не потрібно його встановлювати. І якщо сторонній додаток або ненадійний вебсайт раптом просить вас завантажити WMIC, вам слід бути дуже обережними.
Для організацій, які все ще залежать від нього, Microsoft пропонує завантажуваний пакет як тимчасове рішення для сумісності, але закликає користувачів перейти на підтримувані альтернативи.
“Ми заохочуємо вас якомога швидше відмовитися від цього тимчасового рішення”, – попередила Microsoft усіх, хто все ще планує примусово встановлювати WMIC.