第 1047 期：微软称最好不要再使用 WMIC 这个工具

本周的强制性 Windows 11 更新终于移除了 WMIC，这是勒索软件曾经滥用的工具之一。如果您从未在企业环境工作过，您可能从没听说过 WMIC，但风险并不仅限于企业用户。普通消费者如果电脑上安装了 WMIC，也可能受到影响。

WMIC，全名 Windows Management Instrumentation Command-line，是 Windows 系统中存在了几十年的组件，它本身并不是恶意软件。它是一款合法的命令行工具，主要让企业用户通过 Windows 管理工具（WMI）查询和管理 Windows 电脑。但不仅仅是 IT 部门的人在用，包括管理 Windows 和自动化任务的用户也会用，所以 WMIC 也预装在普通消费者版本中。

微软在 2021 年 5 月发布的 Windows 10 21H1 版本中就已弃用 WMIC，但它仍作为按需功能预装存在。而现在随着 Windows 11 KB5124008、2026 年 9 月更新，WMIC 已被彻底移除，不再作为按需功能提供。

微软建议，将仍依赖 WMIC 的应用、脚本和工作流程，迁移到受支持的替代方案，而不是尝试恢复这个工具。

WMIC 让勒索软件能够攻击所有人，包括普通消费者

与 WMIC 相关的滥用同样影响了普通家庭用户，其中一种最常见的手段就是：破坏 Windows 的卷影副本（Shadow Volume Copies）。

对于不了解的人来说，Windows 会维护卷影副本，这可以帮助您恢复文件的以前版本，包括个人文件。Windows 的恢复功能也是基于恢复到早期状态的这个大思路。

滥用 WMIC 的攻击者可以首先尝试删除卷影副本，这样在勒索软件加密数据后，您就很难回到之前的状态或恢复数据。这个并不是理论上的说法，因为我们已经看到可信的报告显示，已知勒索软件之一的 TeslaCrypt 4.1b 曾使用 WMIC 从被感染的电脑中删除卷影副本。

我们了解到，WMIC 也曾被 Serpent、WhiteRose、Zenis、Saturn 以及其他许多勒索软件家族滥用。

甚至人们所熟知的 WannaCry 勒索软件也删除了卷影副本，禁用了 Windows 启动恢复，并移除了备份信息。其中一条命令就是调用 WMIC 来删除卷影副本。

我并不是说 WMIC 引发了最初的 WannaCry 感染，但勒索软件确实可以滥用 Windows 已有的合法工具，除非它被手动禁用或移除。

WMIC 也曾被用来干扰 Windows 的杀毒保护。例如，一个木马使用 WMIC 来检查 Windows Defender 是否在运行，然后把自己加入 Defender 的排除列表。

2021 年，也就是微软宣布 WMIC 弃用的同一年，攻击者通过网上传播 DeroHE 勒索软件。该勒索软件同样使用 WMIC 命令来添加 Microsoft Defender 的排除项。

在调查中，我们发现，移除 WMIC 可以立刻中断一些攻击者技巧和依赖该工具的勒索软件策略。攻击者现在需要找到替代办法，或者想办法说服您再次安装 WMIC。

如何验证 WMIC 是否已从 Windows 中移除？

首先，请确保您已经通过 Windows 更新安装了 2026 年 9 月更新。它会显示为 Windows 11 KB5124008，并将电脑升级到版本 26200.9445。如果您使用的是版本 26200.9445 或更高版本，您就已经受保护了。这个版本移除了 WMIC，同时修复了数百个主要安全问题。

在 Windows 11 版本 26200.9445 或更新版本中，如果您打开命令提示符并输入 WMIC，它会报错说命令无法识别。这就确认 WMIC 已经彻底消失了。

之前，如果您使用 WMIC 命令，它会简要显示如何使用这个命令行工具的说明。

微软表示，除非真的需要，否则最好不要再继续使用 WMIC

我找到了一份微软的支持文档，实际上允许您通过可下载的包来恢复 WMIC，但该公司明确表示，这主要是为了那些仍依赖该工具的应用、脚本或工作流程。

如果您不知道 WMIC 是什么，那大概率您也不需要安装它。而如果某个第三方应用或不可信的网站突然让您下载 WMIC，您在下载之前应该非常小心。

对于仍然依赖它的公司来说，微软提供了这个可下载包作为临时兼容解决方案，但希望用户迁移到受支持的替代方案。

微软提醒那些仍打算强制安装 WMIC 的用户：“我们鼓励您尽快放弃这个临时解决方案”。

另外值得一提的是，如果您是一位高效能人士，拓扑梅尔智慧办公平台最近也更新到了最新的 6.0 版本，带来了诸如文件管理，个人工作台，文件秒搜，远程协助，音视频通话等功能，可以帮助您进一步提升日常工作效率。

您平常会使用到 WMIC 这个工具吗？移除这个工具对您有没有什么影响呢？

本文来自：Windows 11 just dropped the tool ransomware abused, Microsoft says don’t restore WMIC