今週配信されたWindows 11の必須アップデートにより、ランサムウェアに悪用されてきた正規ツール「WMIC」がついに削除されました。企業環境以外のユーザーにはWMICを聞いたことがない人もいるかもしれませんが、そのリスクは企業だけに限られていません。WMICがPCにインストールされている場合、一般ユーザーも影響を受ける可能性がありました。
WMICは「Windows Management Instrumentation Command-line」として知られ、数十年にわたってWindowsの一部として提供されてきたもので、マルウェアではありません。これは、主に企業ユーザーがWindows Management Instrumentation（WMI）を通じてWindows PCの情報を照会・管理するために使用できる正規のコマンドラインツールです。しかし、IT部門以外でもWindowsの管理や自動化に使用されていたため、WMICは一般ユーザー向けエディションにもプリインストールされていました。
MSは2021年5月にWindows 10 バージョン21H1をリリースした際、WMICを非推奨としましたが、その後もオンデマンド機能としてプリインストールされていました。2026年9月のアップデートであるWindows 11 KB5124008により、WMICは完全に削除され、オンデマンド機能としても利用できなくなりました。
MSは、WMICを復元するのではなく、現在もWMICに依存しているアプリ、スクリプト、ワークフローを、サポートされている代替手段へ移行することを推奨しています。
WMICにより、一般ユーザーを含むすべての人がランサムウェアの攻撃対象に
WMICの悪用は、一般の家庭ユーザーにも影響を及ぼしていました。最も一般的な手口の一つは、Windowsのシャドウボリュームコピーを破壊するというものです。
Windowsは、個人ファイルを含むファイルの以前のバージョンをユーザーが復元できるようにするため、シャドウボリュームコピーを保持しています。Windowsの回復機能も、システムを以前の状態に戻すという、より広範な概念に基づいています。
WMICを悪用する攻撃者は、まずシャドウボリュームコピーの削除を試み、ランサムウェアによってデータが暗号化された後に、ユーザーが以前の状態へ容易に戻したり、データを復元したりできないようにしていました。この脅威は単なる理論上のものではありません。信頼できる報告によると、既知のランサムウェアであるTeslaCrypt 4.1bが、感染したPCからシャドウボリュームコピーを削除するためにWMICを使用していました。
Windows Latestの調査によると、WMICはSerpent、WhiteRose、Zenis、Saturnをはじめとする多数のランサムウェアファミリーにも悪用されていました。
悪名高いWannaCryランサムウェアでさえ、シャドウボリュームコピーを削除し、Windowsのスタートアップ回復機能を無効化して、バックアップ情報を消去していました。そのコマンドの一つでは、WMICを呼び出してシャドウコピーを削除していました。
WMICがWannaCryへの最初の感染を引き起こしたわけではありません。しかし、手動で無効化または削除されていない限り、ランサムウェアはWindowsに標準搭載されている正規ツールを悪用できました。
WMICは、Windowsのウイルス対策機能を妨害するためにも悪用されてきました。例えば、あるトロイの木馬は、Windows Defenderが実行中かどうかをWMICで確認し、その後、自身をDefenderの除外リストに追加していました。
MSがWMICを非推奨とした2021年には、攻撃者がフォーラムを通じてDeroHEランサムウェアを配布していました。このランサムウェアも、MS Defenderの除外設定に自身を追加するためにWMICコマンドを使用していました。
Windows Latestの調査では、WMICを削除することで、このツールに明確に依存する攻撃者の手法やランサムウェアの戦術を直ちに阻止できる可能性があることが分かりました。今後、攻撃者は代替手段を見つけるか、何らかの方法でユーザーを説得してWMICを再インストールさせる必要があります。
WindowsからWMICが削除されたか確認する方法
Windows Updateを通じて2026年9月のアップデートをインストールします。このアップデートはWindows 11 KB5124008として表示され、PCがビルド26200.9445に更新されます。
PCがビルド26200.9445以降を実行していることを確認します。このビルドではWMICが削除され、数百件の重大なセキュリティ問題が修正されています。
ターミナルまたはコマンドプロンプトを開き、WMICと入力します。コマンドが認識されないというエラーが返された場合、WMICは削除されています。
以前は、WMICコマンドを入力すると、このコマンドラインツールの使用方法を説明する簡単な説明が表示されていました。
MS、必要でない限りWMICを復元しないよう呼びかけ
MSのサポート文書では、ダウンロード可能なパッケージを通じてWMICを復元できますが、同社は、このオプションが現在もWMICに依存するアプリ、スクリプト、ワークフローのみを対象としていることを明確にしています。
WMICが何か分からない場合、おそらくインストールする必要はありません。サードパーティ製アプリや信頼できないWebサイトから突然WMICをダウンロードするよう指示された場合は、細心の注意を払ってください。
現在もWMICに依存している組織向けに、MSは一時的な互換性対策としてダウンロード可能なパッケージを提供しています。ただし、同社はユーザーに対し、サポートされている代替手段へ移行するよう求めています。
「この回避策の使用をできるだけ早く終了することを推奨します」とMSは、今後もWMICを強制的にインストールする予定のユーザーに警告しています。
Windows Latestは、皆様のような読者に支えられています。Google DiscoverとGoogle検索で当サイトを「優先する情報源」に設定し、私たちの独立した報道をより多くの人々に届けられるようご協力ください。
