Povinná aktualizace Windows 11 z tohoto týdne konečně odstranila nástroj WMIC, legitimní nástroj zneužívaný ransomwarem. Přestože uživatelé mimo podniková prostředí možná o WMIC nikdy neslyšeli, riziko se neomezovalo pouze na firmy. Pokud byl WMIC nainstalován na počítačích běžných uživatelů, mohli být ohroženi také.
WMIC, známější jako Windows Management Instrumentation Command-line, je součástí Windows již desítky let a nejedná se o malware. Jde o legitimní nástroj příkazového řádku, který uživatelům, především firmám, umožňoval dotazovat se na počítače se systémem Windows a spravovat je prostřednictvím služby Windows Management Instrumentation (WMI). Ke správě a automatizaci Windows jej však používali také lidé mimo IT oddělení, a proto byl WMIC předinstalován i ve spotřebitelských edicích.
MS označil WMIC za zastaralý s vydáním Windows 10 verze 21H1 v květnu 2021, nadále však zůstával předinstalován jako funkce na vyžádání. S aktualizací Windows 11 KB5124008, tedy aktualizací ze září 2026, byl WMIC nyní zcela odstraněn a již není dostupný ani jako funkce na vyžádání.
MS doporučuje převést aplikace, skripty a pracovní postupy, které jsou stále závislé na WMIC, na podporované alternativy namísto obnovení tohoto nástroje.
WMIC umožňoval ransomwaru útočit na všechny uživatele včetně spotřebitelů
Zneužívání WMIC se týkalo také běžných domácích uživatelů. Jedna z nejčastějších taktik spočívala v ničení stínových kopií svazku systému Windows.
Systém Windows uchovává stínové kopie svazku, aby uživatelům pomohl obnovit předchozí verze souborů včetně osobních souborů. Funkce obnovení systému Windows jsou rovněž založeny na širším principu navrácení systému do dřívějšího stavu.
Útočníci zneužívající WMIC se mohli nejprve pokusit odstranit stínové kopie svazku, čímž uživatelům zabránili ve snadném návratu do předchozího stavu nebo v obnovení dat poté, co je ransomware zašifroval. Tato hrozba nebyla pouze teoretická. Důvěryhodné zprávy ukázaly, že TeslaCrypt 4.1b, známý druh ransomwaru, používal WMIC k odstraňování stínových kopií svazku z infikovaných počítačů.
Podle zjištění webu Windows Latest nástroj WMIC zneužívaly také ransomwarové rodiny Serpent, WhiteRose, Zenis, Saturn a řada dalších.
Dokonce i nechvalně proslulý ransomware WannaCry odstraňoval stínové kopie svazku, vypínal obnovení při spuštění systému Windows a mazal informace o zálohách. Jeden z jeho příkazů používal WMIC k odstranění stínových kopií.
WMIC nezpůsobil původní infekci WannaCry. Ransomware však mohl zneužít tento legitimní nástroj, který byl ve Windows běžně dostupný, pokud nebyl ručně zakázán nebo odstraněn.
WMIC byl zneužíván také k narušování antivirové ochrany systému Windows. Jeden trojský kůň například pomocí WMIC zjišťoval, zda je spuštěn Windows Defender, a poté se přidal na seznam výjimek Defenderu.
V roce 2021, kdy MS označil WMIC za zastaralý, útočníci prostřednictvím fór šířili ransomware DeroHE. Také tento ransomware používal příkazy WMIC k přidávání výjimek do programu MS Defender.
Windows Latest při svém vyšetřování zjistil, že odstranění WMIC může okamžitě narušit techniky útočníků a taktiky ransomwaru, které jsou na tomto nástroji přímo závislé. Útočníci nyní musí najít alternativu nebo nějakým způsobem přesvědčit uživatele, aby WMIC znovu nainstalovali.
Jak ověřit, zda byl WMIC ze systému Windows odstraněn
Nainstalujte aktualizaci ze září 2026 prostřednictvím služby Windows Update. Zobrazuje se jako Windows 11 KB5124008 a aktualizuje počítače na sestavení 26200.9445.
Ověřte, že počítač používá sestavení 26200.9445 nebo novější. Toto sestavení odstraňuje WMIC a opravuje stovky závažných bezpečnostních problémů.
Otevřete Terminál nebo Příkazový řádek a zadejte WMIC. Pokud příkaz vrátí chybu s informací, že nebyl rozpoznán, WMIC byl odstraněn.
Dříve se po zadání příkazu WMIC zobrazil stručný popis vysvětlující, jak tento nástroj příkazového řádku používat.
MS doporučuje WMIC neobnovovat, pokud to není nezbytné
Dokument podpory společnosti MS umožňuje uživatelům obnovit WMIC prostřednictvím balíčku ke stažení, společnost však jasně uvádí, že tato možnost je určena pouze pro aplikace, skripty nebo pracovní postupy, které jsou na tomto nástroji stále závislé.
Pokud nevíte, co je WMIC, pravděpodobně jej nemusíte instalovat. Pokud vám aplikace třetí strany nebo nedůvěryhodný web náhle doporučí stáhnout WMIC, postupujte mimořádně obezřetně.
Organizacím, které jsou na WMIC stále závislé, nabízí MS balíček ke stažení jako dočasné řešení pro zachování kompatibility. Společnost však chce, aby uživatelé přešli na podporované alternativy.
„Doporučujeme vám, abyste toto dočasné řešení přestali používat co nejdříve,“ varoval MS uživatele, kteří stále plánují vynutit instalaci WMIC.
Windows Latest je závislý na čtenářích, jako jste vy. Nastavte si nás jako preferovaný zdroj ve službách Google Discover a Vyhledávání Google a pomozte našemu nezávislému zpravodajství oslovit více lidí.
