Microsoft entfernt WMIC aus neuen Windows-11-Versionen

Microsoft hat das ältere Kommandozeilentool WMIC aus neuen Windows-11-Installationen entfernt und damit ein integriertes Dienstprogramm abgeschafft, das Cyberkriminelle wiederholt bei Angriffen missbraucht haben.

Die Änderung betrifft die Windows-11-Versionen 24H2 und 25H2 sowie die in dieser Woche veröffentlichten Beta-Versionen von Windows 11. Während WMIC verschwindet, bleibt die zugrunde liegende Windows-Management-Instrumentation-Plattform weiterhin verfügbar.

Microsoft entfernt WMIC aus Windows 11

WMIC, kurz für Windows Management Instrumentation Command-line, ermöglicht es Nutzern, textbasierte Befehle auszuführen, um Windows-Systeme abzufragen und zu verwalten.

Microsoft begann bereits vor Jahren damit, das Tool schrittweise auslaufen zu lassen. Das Unternehmen stufte WMIC in Windows Server 2012 und Windows 10 Version 21H1 als veraltet ein und machte es anschließend in Windows 11 22H2 zu einem optionalen Feature on Demand.

Nun entfernt Microsoft WMIC vollständig aus Neuinstallationen von Windows 11 24H2 und 25H2. Nutzer können es nicht mehr über das optionale Menü „Features on Demand“ hinzufügen.

Das Unternehmen bestätigte außerdem, dass die neuesten Beta-Versionen von Windows 11 das Kommandozeilentool nicht mehr enthalten.

WMI selbst bleibt verfügbar

Die Entfernung betrifft lediglich das alte WMIC-Dienstprogramm. Windows Management Instrumentation, allgemein als WMI bekannt, funktioniert weiterhin wie gewohnt.

WMI ermöglicht Administratoren und Software, Systeminformationen zu erfassen, Geräte zu überwachen und Verwaltungsaufgaben zu automatisieren. IT-Teams, die weiterhin auf WMIC angewiesen sind, können stattdessen PowerShell, die COM-API von WMI, .NET-Bibliotheken oder unterstützte Skriptsprachen verwenden.

Microsoft empfiehlt Administratoren, alte Skripte und Arbeitsabläufe zu aktualisieren, bevor WMIC aus weiteren Windows-Umgebungen verschwindet.

Malware-Betreiber missbrauchen WMIC häufig

Microsoft entfernt WMIC unter anderem deshalb, weil Angreifer das Tool seit Langem als sogenannte Living-off-the-Land Binary oder LOLBIN einsetzen. Dabei handelt es sich um legitime, von Microsoft signierte Tools, die Kriminelle ausnutzen können, ohne zuvor eigene Software installieren zu müssen.

Ransomware-Gruppen haben häufig WMIC-Befehle verwendet, um Shadow Volume Copies zu löschen. Diese Taktik verhindert, dass Opfer verschlüsselte Dateien über Windows-Sicherungskopien wiederherstellen können.

Angreifer haben das Tool außerdem genutzt, um installierte Antivirenprogramme und Sicherheitssoftware zu identifizieren. In einigen Fällen versuchten Malware-Betreiber anschließend, diese Schutzmaßnahmen zu deaktivieren oder zu entfernen, bevor sie weitere Schadsoftware ausführten.

Bei anderen Angriffen wurde WMIC verwendet, um Ausnahmen zu Microsoft Defender hinzuzufügen. Diese Ausnahmen können dazu führen, dass schädliche Dateien oder Ordner auf kompromittierten Geräten nicht von Sicherheitsscans erfasst werden.

Entfernung schließt einen häufig genutzten Angriffsweg

Die Entfernung von WMIC wird nicht jeden Angriff auf Windows verhindern. Bedrohungsakteure können weiterhin PowerShell, WMI und andere legitime Tools verwenden, wenn sie Zugriff auf ein Gerät erhalten.

Die Maßnahme entfernt jedoch eine bekannte Option aus dem Werkzeugkasten von Angreifern. Gleichzeitig reduziert sie die Zahl veralteter Windows-Komponenten, die Unternehmen überwachen und absichern müssen.

Für die meisten Nutzer dürfte die Änderung kaum Auswirkungen haben. Administratoren und Nutzer älterer Software müssen WMIC-Befehle möglicherweise durch unterstützte Alternativen ersetzen, bevor sie neuere Versionen von Windows 11 einsetzen.