Microsoft treibt die seit Jahren laufende Ausmusterung von WMIC weiter voran. Das Unternehmen hatte WMIC bereits in Windows Server 2012 im Jahr 2016 sowie in Windows 10 21H1 im Jahr 2021 als veraltet eingestuft. Mit Windows 11 22H2 wurde das Werkzeug 2022 zu einer optionalen Funktion auf Abruf gemacht, bevor Microsoft im Januar 2024 ankündigte, es nach einer vorherigen Deaktivierung standardmäßig vollständig zu entfernen.
Am Montag erklärte Microsoft: „Windows Management Instrumentation Command-line (WMIC) wurde in dieser Version entfernt. Diese Änderung ist Teil der laufenden Ausmusterung und Entfernung von WMIC aus Windows.“ Bereits am Freitag zuvor hatte das Unternehmen mitgeteilt, das Werkzeug sei „in neuen Installationen von Windows 11, Version 24H2 und 25H2, standardmäßig bereits entfernt und auch nicht mehr als Funktion auf Abruf verfügbar“.
Wichtig ist dabei die Abgrenzung: Entfernt wird nur das Altwerkzeug WMIC. Die Windows Management Instrumentation selbst bleibt laut Microsoft unangetastet. Für IT-Administratoren, die bislang auf WMIC setzen, verweist das Unternehmen auf ein Support-Dokument. Dort empfiehlt Microsoft PowerShell und andere moderne Werkzeuge, darunter die COM-API von WMI, .NET-Bibliotheken oder Skriptsprachen, für Aufgaben, die bisher mit WMIC erledigt wurden.
Nach Darstellung von Microsoft soll die Entfernung die Sicherheit des Betriebssystems insgesamt verbessern, weil damit eine Reihe von Malware- und Angriffstechniken ins Leere laufen soll. WMIC wurde über lange Zeit als LOLBIN eingestuft, also als systemeigene, signierte Datei, die sich im Rahmen sogenannter Living-off-the-Land-Angriffe missbrauchen lässt.
Der Quelltext nennt mehrere Beispiele für diesen Missbrauch. So verwenden Ransomware-Verschlüsseler häufig den WMIC-Befehl, um Shadow Volume Copies zu löschen und damit Wiederherstellungen verschlüsselter Daten zu verhindern. Andere Angreifer nutzten WMIC, um installierte Sicherheitslösungen und Antivirenprogramme abzufragen und zu deinstallieren.
Außerdem wurde laut Quelltext beobachtet, dass Schadsoftware WMIC einsetzt, um Ausnahmen in Microsoft Defender einzutragen. Das erleichtert es, auf kompromittierten Systemen einer Erkennung zu entgehen. Mit der Entfernung der Altkomponente schneidet Microsoft somit einen Angriffsbaustein ab, der in verschiedenen Angriffsszenarien gegen Windows-Systeme immer wieder auftauchte.