L’aggiornamento obbligatorio di Windows 11 di questa settimana ha finalmente rimosso WMIC, uno strumento legittimo che è stato sfruttato dai ransomware. Sebbene gli utenti al di fuori degli ambienti aziendali potrebbero non aver mai sentito parlare di WMIC, il rischio non era limitato alle imprese. Anche i normali consumatori potevano essere colpiti se WMIC era installato sui loro PC.
WMIC, meglio noto come Windows Management Instrumentation Command-line, fa parte di Windows da decenni e non è un malware. È uno strumento da riga di comando legittimo che consentiva agli utenti—principalmente alle aziende—di interrogare e gestire i PC Windows tramite Windows Management Instrumentation (WMI). Tuttavia, veniva utilizzato anche da persone esterne ai reparti IT per la gestione e l’automazione di Windows, motivo per cui WMIC era preinstallato nelle edizioni consumer.
MS ha deprecato WMIC con il rilascio di Windows 10 versione 21H1 nel maggio 2021, ma lo strumento è rimasto preinstallato come funzionalità su richiesta. Con Windows 11 KB5124008, l’aggiornamento di settembre 2026, WMIC è stato ora completamente rimosso e non è più disponibile come funzionalità su richiesta.
MS consiglia di migrare le app, gli script e i flussi di lavoro che dipendono ancora da WMIC verso alternative supportate, anziché ripristinare l’utilità.
WMIC consentiva ai ransomware di attaccare chiunque, compresi i consumatori
Gli abusi legati a WMIC colpivano anche i normali utenti domestici. Una delle tattiche più comuni consisteva nell’eliminare le copie shadow del volume di Windows.
Windows conserva le copie shadow del volume per aiutare gli utenti a recuperare versioni precedenti dei file, compresi quelli personali. Anche le funzionalità di ripristino di Windows si basano sul concetto più ampio di riportare il sistema a uno stato precedente.
Gli aggressori che sfruttavano WMIC potevano innanzitutto tentare di eliminare le copie shadow del volume, impedendo agli utenti di tornare facilmente a uno stato precedente o di recuperare i dati dopo che il ransomware li aveva crittografati. Questa minaccia non era puramente teorica. Rapporti attendibili hanno dimostrato che TeslaCrypt 4.1b, un noto ceppo di ransomware, utilizzava WMIC per eliminare le copie shadow del volume dai PC infetti.
Windows Latest ha appreso che WMIC è stato sfruttato anche da Serpent, WhiteRose, Zenis, Saturn e numerose altre famiglie di ransomware.
Persino il famigerato ransomware WannaCry eliminava le copie shadow del volume, disabilitava il ripristino all’avvio di Windows e rimuoveva le informazioni di backup. Uno dei suoi comandi richiamava WMIC per eliminare le copie shadow.
WMIC non causava l’infezione iniziale da WannaCry. Tuttavia, il ransomware poteva sfruttare questo strumento legittimo già disponibile in Windows, a meno che non fosse stato disabilitato o rimosso manualmente.
WMIC è stato sfruttato anche per interferire con la protezione antivirus di Windows. Ad esempio, un trojan utilizzava WMIC per determinare se Windows Defender fosse in esecuzione e poi si aggiungeva all’elenco delle esclusioni di Defender.
Nel 2021, lo stesso anno in cui MS ha dichiarato WMIC deprecato, alcuni aggressori hanno distribuito il ransomware DeroHE tramite forum. Anche questo ransomware utilizzava comandi WMIC per aggiungere esclusioni a MS Defender.
Nel corso della sua indagine, Windows Latest ha scoperto che la rimozione di WMIC potrebbe interrompere immediatamente le tecniche degli aggressori e le tattiche ransomware che dipendono specificamente da questa utilità. Gli aggressori devono ora trovare un’alternativa o riuscire in qualche modo a convincere gli utenti a reinstallare WMIC.
Come verificare se WMIC è stato rimosso da Windows
Installare l’aggiornamento di settembre 2026 tramite Windows Update. Viene visualizzato come Windows 11 KB5124008 e aggiorna i PC alla build 26200.9445.
Verificare che il PC esegua la build 26200.9445 o una versione successiva. Questa build rimuove WMIC e corregge centinaia di importanti problemi di sicurezza.
Aprire Terminale o Prompt dei comandi e digitare WMIC. Se il comando restituisce un errore indicando che non è riconosciuto, WMIC è stato rimosso.
In precedenza, digitando il comando WMIC veniva visualizzata una breve descrizione che spiegava come utilizzare lo strumento da riga di comando.
MS consiglia di non ripristinare WMIC, a meno che non sia necessario
Un documento di supporto MS consente agli utenti di ripristinare WMIC tramite un pacchetto scaricabile, ma l’azienda chiarisce che questa opzione è destinata esclusivamente ad app, script o flussi di lavoro che dipendono ancora dall’utilità.
Se non sapete che cosa sia WMIC, probabilmente non avete bisogno di installarlo. Se un’app di terze parti o un sito web non attendibile vi invita improvvisamente a scaricare WMIC, procedete con estrema cautela.
Per le organizzazioni che dipendono ancora da WMIC, MS fornisce il pacchetto scaricabile come soluzione temporanea per la compatibilità. Tuttavia, l’azienda vuole che gli utenti passino ad alternative supportate.
“Vi invitiamo ad abbandonare questa soluzione alternativa il prima possibile”, ha avvertito MS rivolgendosi agli utenti che intendono ancora forzare l’installazione di WMIC.
Windows Latest dipende da lettori come voi. Impostateci come fonte preferita su Google Discover e Ricerca Google e aiutate il nostro giornalismo indipendente a raggiungere più persone.
