Microsoft entfernt Admin-Werkzeug WMIC aus Windows 11

Microsoft entfernt das Konsolen-Tool WMIC aus Windows 11. Damit entzieht der Konzern Cyberkriminellen ein beliebtes Angriffswerkzeug.

Microsoft hat mit der vollständigen Entfernung des Befehlszeilen-Werkzeugs Windows Management Instrumentation Command-line (WMIC) aus Windows 11 begonnen. Wie der Konzern mitteilte, ist das Dienstprogramm in den Versionen 24H2 und 25H2 sowie in aktuellen Insider-Beta-Builds nicht mehr enthalten und steht auch nicht mehr als optionales Feature auf Abruf (Feature on Demand) bereit.

Die Maßnahme betrifft ausschließlich die veraltete Konsolen-Schnittstelle WMIC. Die zugrundeliegende Verwaltungsarchitektur Windows Management Instrumentation (WMI) bleibt im Betriebssystem erhalten. IT-Administratorinnen und IT-Administratoren empfiehlt Microsoft für Verwaltungsaufgaben den Wechsel auf moderne PowerShell-Cmdlets sowie entsprechende .NET- oder COM-Schnittstellen.

WMIC als beliebtes Werkzeug für Erpressungs-Trojaner

Die Entfernung soll die Sicherheit des Betriebssystems erhöhen und eine weit verbreitete Angriffstaktik unterbinden. WMIC galt in der IT-Sicherheit als sogenannter „LOLBIN“ (Living-off-the-Land Binary) – ein vorinstalliertes, von Microsoft signiertes Programm, das Angreifer zweckentfremden, um unbemerkt schädliche Aktionen auszuführen.

In der Praxis wurde WMIC regelmäßig für Cyberangriffe missbraucht:

• Löschen von Schattenkopien: Ransomware-Gruppen nutzten den Befehl gezielt, um Wiederherstellungspunkte zu vernichten und eine Datenrettung ohne Lösegeldzahlung zu verhindern.
• Manipulation von Schutzsoftware: Angreifer nutzten WMIC, um installierte Antiviren-Programme aufzuspüren und zu deinstallieren.
• Umgehen des Microsoft Defenders: Schadsoftware fügte über WMIC Ausnahmeregeln in den Windows-Schutz ein, um Erkennungsmechanismen zu umgehen.

Abschluss eines jahrelangen Abkündigungsprozesses

Mit dem Schritt schließt Microsoft einen jahrelangen Ausstiegsprozess ab. Erste Abkündigungen von WMIC gab es bereits 2016 unter Windows Server 2012 sowie 2021 mit Windows 10 (Version 21H1). Mit Windows 11 (22H2) wandelte Microsoft das Tool 2022 in ein optionales Feature um und deaktivierte es Anfang 2024 standardmäßig, bevor nun die endgültige Löschung aus dem System erfolgte.

(red)