Microsoft começa a remover WMIC do Windows 11

A Microsoft começou a remover o Windows Management Instrumentation Command-line (WMIC) do Windows 11 24H2 e 25H2, bem como das novas versões beta do sistema operativo, dando continuidade ao processo de descontinuação de uma ferramenta frequentemente explorada por cibercriminosos.

O WMIC é um utilitário de linha de comandos integrado no Windows que permite interagir com o sistema Windows Management Instrumentation (WMI) através de comandos de texto. Apesar das utilizações legítimas na administração de sistemas, a ferramenta tem sido aproveitada por atacantes para executar diferentes ações maliciosas sem necessidade de instalar software adicional.

A retirada estava prevista desde setembro, quando a Microsoft anunciou que o WMIC seria removido após a atualização para o Windows 11 25H2 e versões posteriores. A empresa tinha descontinuado a ferramenta no Windows Server 2012 e no Windows 10 21H1, transformando-a posteriormente numa funcionalidade opcional no Windows 11 22H2.

Nas novas instalações do Windows 11 24H2 e 25H2, o WMIC já é removido por predefinição e deixou também de estar disponível como funcionalidade opcional. A alteração afeta apenas o componente WMIC, mantendo-se o próprio Windows Management Instrumentation disponível no sistema operativo.

Para os administradores de IT que ainda recorrem ao WMIC, a Microsoft recomenda a migração para PowerShell e outras alternativas mais recentes, incluindo a API COM do WMI, bibliotecas .NET e linguagens de scripting.

A remoção procura também reforçar a segurança do Windows. O WMIC é considerado um LOLBIN (living-off-the-land binary), ou seja, um executável legítimo e assinado pela Microsoft que pode ser utilizado por atacantes para realizar atividades maliciosas nos próprios sistemas comprometidos.

Entre outras utilizações, grupos de ransomware têm recorrido ao WMIC para eliminar Shadow Volume Copies, dificultando a recuperação de ficheiros depois da sua encriptação. A ferramenta tem também sido utilizada para identificar soluções de segurança e antivírus instalados nos dispositivos e, em alguns casos, tentar removê-los.

Foram ainda identificadas campanhas de malware que utilizaram o WMIC para adicionar exclusões ao Microsoft Defender, reduzindo a capacidade de deteção das ameaças.

Ao eliminar progressivamente a ferramenta das versões mais recentes do Windows 11, a Microsoft pretende reduzir a superfície de ataque e impedir técnicas que dependem deste componente, enquanto direciona os administradores para ferramentas de gestão mais atuais.