WMIC, c’est désormais terminé sur Windows 11. Microsoft vient de supprimer son ancien outil d’administration en ligne de commande, régulièrement détourné par des malwares. Ou presque.
Cela faisait déjà un moment que Microsoft préparait la disparition de WMIC. Redmond avait encore confirmé cet été que l’outil vivait ses derniers jours avant d’amorcer sa suppression avec la mise à jour facultative de fin août. Depuis la mise à jour de sécurité de septembre, c’est officiellement chose faite. WMIC n’est plus disponible sur les versions prises en charge de Windows 11 et, en principe, il ne sera plus possible de le réactiver.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Microsoft permet encore de récupérer WMIC, mais vous déconseille de le faire
En principe, car cette disparition n’est finalement pas aussi irréversible qu’annoncé. Microsoft propose encore un package téléchargeable aux entreprises dont les applications, scripts ou processus dépendent de WMIC.
Il faudra pour cela télécharger et extraire l’archive fournie par Redmond, puis ouvrir PowerShell en tant qu’administrateur. Après avoir temporairement autorisé l’exécution du script avec la commande Set-ExecutionPolicy Bypass -Scope Process, il suffira de lancer .\install.ps1 pour ressusciter l’utilitaire et réenregistrer les alias nécessaires à son fonctionnement.
N’allez cependant pas en conclure que Microsoft fait marche arrière. La firme présente cette solution comme un dépannage temporaire et déconseille de l’utiliser dans la durée, pour des raisons évidentes de sécurité. Les fonctions légitimes de WMIC ont été détournées au fil des années par de nombreux ransomwares, notamment pour supprimer les instantanés de restauration conservés par Windows ou modifier des réglages de sécurité.
Le mot d’ordre n’a donc pas changé : il faut migrer au plus vite vers PowerShell, les API WMI ou d’autres outils d’administration encore pris en charge.
WMI (Windows Management Instrumentation) est l’infrastructure de Windows qui permet d’interroger et d’administrer le système, par exemple pour récupérer des informations sur le matériel, les processus, les services ou la configuration. WMIC (WMI Command-line) était l’outil en ligne de commande permettant d’accéder à ces fonctions et de les automatiser dans des scripts. Présent de longue date dans Windows, il restait notamment utilisé dans des scripts et outils d’administration anciens. Microsoft supprime aujourd’hui WMIC, mais pas WMI, qui continue de fonctionner et reste accessible notamment depuis PowerShell.
De nombreux ransomwares ont détourné WMIC pour utiliser directement des fonctions légitimes de Windows. Ils pouvaient notamment s’en servir pour supprimer les instantanés permettant de restaurer d’anciennes versions des fichiers, modifier des réglages de sécurité ou récupérer des informations sur la machine. Cette technique, dite « living off the land », permet aux attaquants de s’appuyer sur des outils déjà présents dans Windows. La disparition de WMIC ne bloque donc pas les ransomwares ni l’accès à WMI, mais elle leur retire un outil particulièrement pratique pour automatiser ce type d’actions.
Cette commande autorise temporairement PowerShell à exécuter les scripts sans appliquer les restrictions habituelles de sa stratégie d’exécution. Avec le mode Bypass, aucun script n’est bloqué et PowerShell n’affiche ni avertissement ni demande de confirmation. L’option -Scope Process limite toutefois ce changement à la session PowerShell en cours : dès que la fenêtre est fermée, la modification disparaît. Microsoft rappelle par ailleurs que cette stratégie d’exécution n’est pas une barrière de sécurité à proprement parler, mais vise surtout à éviter l’exécution involontaire de scripts.
