Microsoft Mulai Menghapus WMIC, Tool Windows yang Sering Disalahgunakan Cybercriminal
Microsoft mulai menghapus Windows Management Instrumentation Command-line (WMIC) dari sejumlah versi Windows 11 sebagai bagian dari proses deprecation yang telah berlangsung selama beberapa tahun.
WMIC kini telah dihapus dari Windows 11 versi 24H2 dan 25H2, serta mulai tidak tersedia pada sejumlah beta build Windows 11 yang dirilis pekan ini. Langkah tersebut sekaligus menandai tahap lanjutan dari rencana Microsoft untuk menghentikan keberadaan tool legacy tersebut di Windows.
WMIC merupakan utility command-line bawaan Windows yang digunakan untuk berinteraksi dengan sistem Windows Management Instrumentation (WMI) melalui perintah berbasis teks. Selama bertahun-tahun, tool ini banyak digunakan administrator untuk menjalankan berbagai tugas pengelolaan dan troubleshooting sistem.
Namun, WMIC juga menjadi salah satu tool bawaan Windows yang kerap dimanfaatkan oleh cybercriminal dalam serangan siber.
Penghapusan WMIC Dilakukan Secara Bertahap
Keputusan Microsoft untuk menghapus WMIC bukanlah langkah mendadak. Perusahaan sebelumnya telah melakukan deprecation secara bertahap selama beberapa tahun.
WMIC pertama kali deprecated pada Windows Server 2012 dan Windows 10 versi 21H1. Mulai Windows 11 22H2, WMIC kemudian dijadikan sebagai Feature on Demand (FoD), sehingga tidak lagi menjadi bagian default dari instalasi sistem operasi.
Pada Januari 2024, Microsoft mengumumkan rencana untuk menghapus WMIC sepenuhnya setelah sebelumnya menonaktifkannya secara default.
Kini proses tersebut mulai diterapkan pada Windows 11 versi 24H2 dan 25H2. Microsoft menyatakan bahwa WMIC sudah dihapus secara default pada instalasi baru kedua versi Windows tersebut dan tidak lagi tersedia sebagai Feature on Demand.
Microsoft juga mulai menghapusnya dari Windows Insider beta builds. Dengan demikian, pengguna yang mengandalkan WMIC untuk administrasi sistem perlu mulai beralih ke metode pengganti.
WMI Tetap Tersedia
Penghapusan WMIC tidak berarti Microsoft menghentikan Windows Management Instrumentation (WMI).
WMI tetap menjadi bagian dari Windows dan dapat digunakan seperti biasa. Yang dihapus adalah command-line utility legacy bernama WMIC yang selama ini menjadi salah satu cara untuk mengakses kemampuan WMI.
Microsoft merekomendasikan administrator untuk menggunakan PowerShell maupun metode modern lainnya sebagai pengganti WMIC. Beberapa opsi tersebut mencakup WMI melalui COM API, .NET libraries, serta berbagai scripting language yang dapat berinteraksi dengan WMI.
Perubahan ini terutama perlu diperhatikan oleh administrator dan aplikasi internal yang masih menjalankan command WMIC dalam script atau automation.
WMIC Lama Disalahgunakan sebagai LOLBIN
Selain alasan modernisasi, penghapusan WMIC juga memiliki implikasi terhadap keamanan Windows.
WMIC selama bertahun-tahun dikenal sebagai salah satu LOLBIN atau Living-off-the-Land Binary. Istilah tersebut merujuk pada executable yang sudah tersedia dan ditandatangani secara resmi oleh vendor sistem operasi, tetapi dapat dimanfaatkan oleh attacker untuk menjalankan aktivitas berbahaya tanpa harus membawa tool khusus ke perangkat korban.
Karena WMIC merupakan bagian dari Windows, penggunaannya dalam serangan dapat terlihat seperti aktivitas administratif yang sah dan membantu threat actor menghindari deteksi tertentu.
Tool tersebut telah digunakan dalam berbagai tahap serangan terhadap perangkat Windows.
Ransomware Memanfaatkan WMIC untuk Menghapus Shadow Copies
Salah satu penyalahgunaan WMIC yang paling dikenal terjadi pada serangan ransomware.
Operator ransomware dapat menggunakan perintah WMIC untuk menghapus Shadow Volume Copies pada perangkat korban. Shadow Copies biasanya dapat digunakan untuk membantu memulihkan file setelah terjadi kerusakan atau kehilangan data.
Dengan menghapus salinan tersebut sebelum atau selama proses enkripsi, attacker dapat mengurangi peluang korban untuk memulihkan data tanpa membayar tebusan.
WMIC juga pernah dimanfaatkan malware untuk melakukan reconnaissance terhadap perangkat yang telah berhasil dikompromikan. Salah satunya dengan memeriksa software keamanan dan antivirus yang terpasang di sistem.
Digunakan untuk Menghindari Deteksi
Dalam sejumlah serangan, WMIC juga dapat digunakan untuk membantu malware menghindari sistem keamanan.
Threat actor dapat memanfaatkan tool tersebut untuk mengidentifikasi solusi keamanan yang berjalan pada komputer korban. Setelah mengetahui software keamanan yang digunakan, attacker dapat mencoba menghapus atau menonaktifkannya.
WMIC juga pernah digunakan untuk menambahkan exclusion pada Microsoft Defender. Dengan menambahkan lokasi tertentu ke dalam daftar pengecualian, file atau aktivitas berbahaya dapat memperoleh peluang lebih besar untuk berjalan tanpa terdeteksi.
Penggunaan seperti ini membuat WMIC menjadi salah satu tool bawaan Windows yang memiliki nilai bagi attacker, khususnya ketika mereka ingin menjalankan aktivitas berbahaya menggunakan komponen legitimate yang sudah tersedia di sistem.
Administrator Perlu Memeriksa Script Lama
Dengan semakin luasnya penghapusan WMIC, administrator Windows sebaiknya memeriksa kembali script, automation, maupun software internal yang masih bergantung pada command tersebut.
Script yang sebelumnya menjalankan perintah seperti wmic dapat berhenti berfungsi ketika dijalankan pada instalasi Windows yang sudah tidak menyediakan WMIC.
Migrasi ke PowerShell dan API modern menjadi langkah yang disarankan untuk menggantikan penggunaan WMIC. Sementara itu, keberadaan WMI sendiri tidak terpengaruh sehingga kemampuan manajemen sistem yang disediakan WMI tetap dapat digunakan.
Penghapusan WMIC pada akhirnya menjadi bagian dari upaya Microsoft untuk mengurangi komponen legacy sekaligus mempersempit sejumlah jalur yang selama ini dapat dimanfaatkan oleh malware dan cybercriminal dalam serangan terhadap Windows.
Sumber: [Microsoft]
