Microsoft เริ่มถอดเครื่องมือ WMIC ที่ถูกใช้โดยอาชญากรไซเบอร์ออกจาก Windows

Microsoft ประกาศว่า ได้ถอดเครื่องมือ Windows Management Instrumentation Command-line (WMIC) ออกจาก Windows 11 24H2 และ 25H2 รวมถึง Beta Build ของ Windows 11 ที่ปล่อยออกมาในสัปดาห์นี้แล้ว

WMIC เป็นเครื่องมือ Command-line รุ่นเก่าที่ติดตั้งมาพร้อมกับ Windows ซึ่งใช้สำหรับติดต่อกับระบบ Windows Management Instrumentation (WMI) ผ่านการพิมพ์คำสั่งแบบ text

การดำเนินการดังกล่าวเป็นส่วนหนึ่งของกระบวนการที่ประกาศไว้เมื่อเดือนกันยายน ซึ่งในตอนนั้นทางบริษัทระบุว่า WMIC จะถูกถอดออกหลังจากอัปเกรดไปยัง Windows 11 25H2 และเวอร์ชันที่ใหม่กว่า

Microsoft ได้ประกาศเลิกใช้งาน (Deprecate) WMIC ใน Windows Server 2012 เมื่อปี 2016 และใน Windows 10 21H1 เมื่อปี 2021 จากนั้นได้เปลี่ยนให้เป็น Feature on Demand (FoD) ตั้งแต่ Windows 11 22H2 เมื่อปี 2022 และประกาศเมื่อเดือนมกราคม 2024 ว่า จะถอดออกทั้งหมดหลังจากปิดการใช้งานเป็นค่าเริ่มต้นก่อน

โดย Microsoft ระบุว่า "Windows Management Instrumentation Command-line (WMIC) ได้ถูกถอดออกแล้วในรุ่นนี้ การเปลี่ยนแปลงนี้เป็นส่วนหนึ่งของกระบวนการ Deprecation และการถอด WMIC ออกจาก Windows ที่ดำเนินการอย่างต่อเนื่อง"

ก่อนหน้านั้นสามวัน Microsoft ยังได้เปิดเผยว่า เครื่องมือดังกล่าว "ถูกถอดออกเป็นค่าเริ่มต้นแล้วในการติดตั้ง Windows 11 เวอร์ชัน 24H2 และ 25H2 แบบใหม่ และไม่มีให้ใช้งานในรูปแบบ Feature on Demand (FoD) อีกต่อไป"

อย่างไรก็ตาม การเปลี่ยนแปลงเหล่านี้มีผลเฉพาะกับคอมโพเนนต์ WMIC รุ่นเก่าเท่านั้น ขณะที่ระบบ Windows Management Instrumentation (WMI) ยังคงไม่ได้รับผลกระทบ โดยผู้ดูแลระบบ IT ที่ใช้งาน WMIC สามารถดูคำแนะนำเพิ่มเติมได้จากเอกสารสนับสนุนดังกล่าว ซึ่งแนะนำให้ใช้ PowerShell และเครื่องมือสมัยใหม่อื่น ๆ เช่น COM API ของ WMI, ไลบรารี .NET หรือภาษาสคริปต์ สำหรับงานที่เคยทำผ่าน WMIC

การถอด WMIC ออกมีเป้าหมายเพื่อยกระดับความปลอดภัยโดยรวมของระบบปฏิบัติการ ด้วยการสกัดกั้นมัลแวร์ และเทคนิคการโจมตีจำนวนมากที่จะไม่สามารถใช้งานได้อีกต่อไป

เครื่องมือนี้ถูกจัดให้เป็น LOLBIN (Living-off-the-Land Binary) มาเป็นเวลานาน ซึ่งเป็นไฟล์ Executable ที่ติดตั้งมาพร้อมกับระบบ และลงนามรับรองโดย Microsoft ที่กลุ่มผู้โจมตีนำไปใช้ในกิจกรรมที่เป็นอันตรายหลากหลายรูปแบบ ระหว่างการโจมตีที่มุ่งเป้าไปยังอุปกรณ์ Windows

ตัวอย่างเช่น ตัวเข้ารหัสข้อมูลของ Ransomware มักใช้คำสั่ง WMIC ในการลบ Shadow Volume Copies เพื่อให้แน่ใจว่าเหยื่อจะไม่สามารถกู้คืนข้อมูลที่ถูกเข้ารหัสได้ นอกจากนี้ กลุ่มผู้โจมตีรายอื่นยังใช้ WMIC ในการ Query รายการโซลูชันด้านความปลอดภัย และซอฟต์แวร์แอนติไวรัสที่ติดตั้งอยู่ แล้วถอนการติดตั้งออกอีกด้วย

นอกจากนี้ ยังพบมัลแวร์ที่ใช้ WMIC ในการเพิ่มรายการ Exclusion ให้กับ Microsoft Defender ซึ่งช่วยให้สามารถหลบเลี่ยงการตรวจจับบนระบบที่ถูกโจมตีได้

ที่มา : bleepingcomputer