Microsoft、サイバー犯罪者に悪用されてきたWMICツールの削除を開始

Microsoftは、Windows 11 24H2および25H2、さらに今週リリースされたWindows 11ベータビルドから、Windows Management Instrumentation Command-line(WMIC)ツールを削除したと発表しました。

WMICは、テキストコマンドを使ってWindows Management Instrumentation(WMI)システムとやり取りするための、Windowsに組み込まれたレガシーなコマンドラインユーティリティです。

今回の措置は、9月に発表された方針の一環であり、当時同社はWindows 11 25H2以降へのアップグレード後にWMICを削除するとしていました。

Microsoftは、Windows Server 2012(2016年)およびWindows 10 21H1(2021年)でWMICを非推奨とし、Windows 11 22H2(2022年)からはオンデマンド機能(Feature on Demand、FoD)に変更しました。そして2024年1月には、まずデフォルトで無効化した後、最終的に完全に削除する方針を発表していました。

「Windows Management Instrumentation Command-line(WMIC)は、本リリースで削除されました。これは、WindowsからWMICを段階的に非推奨化・削除していく一連の取り組みの一環です」と、Microsoftは月曜日付けで説明しています。

その3日前の金曜日には、同ツールが「Windows 11のバージョン24H2および25H2の新規インストールでは既にデフォルトで削除されており、オンデマンド機能(FoD)としても利用できなくなっている」ことも明らかにしていました。

ただし、今回の変更が適用されるのはレガシーなWMICコンポーネントのみであり、Windows Management Instrumentation(WMI)自体には影響がありません。WMICを利用しているIT管理者向けの詳しいガイダンスはサポート文書に掲載されており、WMICで行っていた作業についてはPowerShellやその他の最新ツール(WMIのCOM API、.NETライブラリ、スクリプト言語など)の利用が推奨されています。

WMICの削除は、これまでWMICを悪用してきたさまざまなマルウェアや攻撃手法を無効化することで、OS全体のセキュリティを向上させることを目的としています。

このツールは以前からLOLBIN(Living-Off-The-Land Binary)とみなされてきました。これは、Microsoftの署名が付いたWindows組み込みの実行ファイルでありながら、脅威アクターがWindowsデバイスを狙う攻撃においてさまざまな悪用を行うために利用してきたものです。

例えば、ランサムウェアの暗号化ツールは、被害者が暗号化されたデータを復元できないようにするため、シャドウボリュームコピーを削除する目的でWMICコマンドを頻繁に使用してきました。また、他の脅威アクターも、インストール済みのセキュリティ製品やウイルス対策ソフトの一覧を照会したり、それらをアンインストールしたりする目的でWMICを利用してきました。

さらに、侵害されたシステム上での検知回避を目的として、WMICを使ってMicrosoft Defenderに除外設定を追加するマルウェアも確認されています。