// COMPUTERBASE — CYBERSECURITY
Windows 11: Microsoft entfernt nach Cyber-Angriffen WMIC aus dem System
Microsoft hat das Kommandozeilenwerkzeug WMIC aus Windows 11 24H2 und 25H2 sowie aus den in dieser Woche veröffentlichten Beta-Builds entfernt. Der Schritt soll unter anderem die Sicherheit von Windows erhöhen, da Cyber-Kriminelle WMIC seit Jahren immer wieder für Angriffe auf Windows-Systeme missbraucht hatten.
Beim Windows Management Instrumentation Command-line, kurz WMIC, handelt es sich um ein älteres, in Windows integriertes Kommandozeilenprogramm, mit dem sich die Windows Management Instrumentation (WMI) über Textbefehle ansprechen lässt, um unter anderem Systeminformationen abzurufen oder administrative Aktionen auszuführen. Die Entfernung der veralteten Windows-Komponente ist dabei auch aus sicherheitstechnischer Sicht von Bedeutung: WMIC gilt als sogenanntes LOLBIN, also als legitimes, von Microsoft signiertes und bereits im Betriebssystem vorhandenes Programm, das Angreifer für schädliche Zwecke zweckentfremden können.
Während das Werkzeug für Anwender somit eine nützliche Funktion darstellen kann, wurde es in der Vergangenheit allerdings ebenso häufig von Cyber-Kriminellen für Angriffe genutzt. Darüber ließen sich auf kompromittierten Rechnern installierte Sicherheits- und Antivirenprogramme ermitteln und anschließend deinstallieren, wodurch die Systeme schutzlos gemacht werden konnten. Ebenso ließen sich Ausnahmen in Microsofts Antivirentool Defender hinzufügen. Ransomware konnte über WMIC hingegen Schattenkopien von Windows löschen und dadurch verhindern, dass Anwender verschlüsselte Dateien mithilfe dieser Sicherheitskopien wiederherstellen konnten.
Die jetzt erfolgte Entfernung stellt laut Microsoft den Abschluss eines bereits seit längerem laufenden Prozesses dar. Bereits 2016 hatte der Konzern WMIC in Windows Server 2012 sowie 2021 unter Windows 10 21H1 als veraltet eingestuft. Ab Windows 11 22H2 wurde das Tool 2022 in ein optionales Feature on Demand (FoD) umgewandelt, bevor Microsoft im Januar 2024 ankündigte, WMIC zunächst standardmäßig zu deaktivieren und später vollständig entfernen zu wollen. Im September 2024 folgte schließlich die Mitteilung, dass das Werkzeug ab Windows 11 25H2 nicht mehr zur Verfügung stehen werde.
In einem aktualisierten Support-Dokument hat Microsoft nun erklärt, WMIC auch aus bereits vorhandenen Installationen zu entfernen. Bereits am vergangenen Freitag hatte der Konzern bekannt gegeben, dass WMIC bei Neuinstallationen von Windows 11 in den Versionen 24H2 und 25H2 bereits standardmäßig entfernt und nicht mehr als FoD verfügbar sei.
Auf einem Testsystem der Redaktion stand das WMIC aktuell noch zur Verfügung und konnte auch aufgerufen werden. Microsoft scheint das Tool dem Anschein nach schrittweise zu entfernen.
Die nun eingeleiteten Änderungen betreffen dabei ausschließlich die älteren WMIC-Komponenten, während die ihnen zugrunde liegende Windows Management Instrumentation erhalten bleibt. Administratoren, die WMIC bisher für Verwaltungs- und Automatisierungsaufgaben einsetzen, rät Microsoft auf modernere Alternativen wie PowerShell oder, je nach Einsatzgebiet, auf die COM-API von WMI, .NET-Bibliotheken oder andere Skriptsprachen umzusteigen.
Mit dem Wegfall von WMIC will Microsoft für mehr Sicherheit und weniger Angriffsflächen in Windows-Installationen sorgen.