WMIC будет удален в Windows 11, версия 25H2 — Microsoft предлагает перейти на PowerShell

Microsoft объявила, что инструмент Windows Management Instrumentation Command-line (WMIC) будет удален после обновления до Windows 11, версия 25H2 и последующих.

WMIC — это устаревший встроенный инструмент командной строки Windows, который позволяет работать с системой Windows Management Instrumentation (WMI) с помощью текстовых команд.

В обновлении Центра сообщений Microsoft 365 компания предупредила администраторов, что им следует переходить на Windows PowerShell для работы с WMI, скриптами и другими задачами, поскольку в будущих версиях Windows WMIC больше не будет включен по умолчанию.

В сообщении компании говорится:

Microsoft рекомендует использовать PowerShell и другие современные инструменты для любых задач, которые ранее выполнялись через WMIC. В качестве альтернатив можно рассмотреть COM API WMI, .NET-библиотеки или скриптовые языки. После выбора подходящего решения обновите внутреннюю IT-документацию и процессы.

Важно отметить, что это изменение касается только устаревшего компонента WMIC. WMI же остается без изменений.

Дополнительные рекомендации для администраторов, использующих WMIC, опубликованы Microsoft в отдельном документе поддержки.

История отказа от WMIC:

• В Windows Server 2012 (в 2016 году) и Windows 10, версия 21H1 (в 2021 году) Microsoft объявила об устаревании инструмента.
• В Windows 11, версия 22H2 (в 2022 году) инструмент был переведен в статус «Функции по требованию» (Feature on Demand).
• В январе 2024 года Microsoft сообщила, что полностью удалит WMIC, предварительно отключив его по умолчанию.

Тогда же компания пояснила:

Последние годы мы активно развиваем PowerShell. Новые инструменты позволяют эффективнее выполнять запросы к WMI. Удаление устаревшего компонента снижает сложность системы, сохраняя ее безопасной и производительной.

Удаление WMIC также повысит уровень безопасности, так как устранит возможности для множества вредоносных программ и тактик атак.

Дело в том, что WMIC давно считался так называемым LOLBIN (living-off-the-land binary) — подписанным Microsoft исполняемым файлом, который злоумышленники используют в атаках для выполнения вредоносных действий.

Например, шифровальщики часто используют команду WMIC для удаления теневых копий томов, чтобы жертвы не смогли восстановить зашифрованные данные. Другие злоумышленники применяли WMIC для получения списка установленных антивирусов и их удаления.

Также зафиксированы случаи, когда вредоносные программы через WMIC добавляли исключения в Microsoft Defender, чтобы скрыться от обнаружения при запуске.