La mise à jour obligatoire de Windows 11 publiée cette semaine a finalement supprimé WMIC, un outil légitime qui a été détourné par des rançongiciels. Bien que les utilisateurs hors des environnements professionnels n’aient peut-être jamais entendu parler de WMIC, le risque ne se limitait pas aux entreprises. Les particuliers pouvaient également être touchés si WMIC était installé sur leur PC.
WMIC, mieux connu sous le nom de Windows Management Instrumentation Command-line, fait partie de Windows depuis des décennies et n’est pas un logiciel malveillant. Il s’agit d’un outil en ligne de commande légitime qui permettait aux utilisateurs, principalement aux entreprises, d’interroger et de gérer des PC Windows par l’intermédiaire de Windows Management Instrumentation (WMI). Toutefois, des personnes extérieures aux services informatiques l’utilisaient également pour la gestion et l’automatisation de Windows, raison pour laquelle WMIC était préinstallé dans les éditions grand public.
MS a déclaré WMIC obsolète lors de la sortie de Windows 10 version 21H1 en mai 2021, mais l’outil est resté préinstallé en tant que fonctionnalité à la demande. Avec Windows 11 KB5124008, la mise à jour de septembre 2026, WMIC a désormais été entièrement supprimé et n’est plus disponible en tant que fonctionnalité à la demande.
MS recommande de migrer les applications, scripts et flux de travail qui dépendent encore de WMIC vers des solutions de remplacement prises en charge, plutôt que de restaurer l’utilitaire.
WMIC permettait aux rançongiciels d’attaquer tout le monde, y compris les particuliers
Les utilisations malveillantes liées à WMIC touchaient également les particuliers. L’une des tactiques les plus courantes consistait à détruire les clichés instantanés de volumes de Windows.
Windows conserve des clichés instantanés de volumes afin d’aider les utilisateurs à récupérer des versions antérieures de leurs fichiers, notamment de leurs fichiers personnels. Les fonctionnalités de récupération de Windows reposent également sur le principe plus général de restauration du système à un état antérieur.
Les attaquants détournant WMIC pouvaient d’abord tenter de supprimer les clichés instantanés de volumes, empêchant ainsi les utilisateurs de revenir facilement à un état antérieur ou de récupérer leurs données après leur chiffrement par un rançongiciel. Cette menace n’était pas purement théorique. Des rapports crédibles ont montré que TeslaCrypt 4.1b, une souche de rançongiciel connue, utilisait WMIC pour supprimer les clichés instantanés de volumes des PC infectés.
Selon les informations de Windows Latest, WMIC a également été détourné par Serpent, WhiteRose, Zenis, Saturn et de nombreuses autres familles de rançongiciels.
Même le tristement célèbre rançongiciel WannaCry supprimait les clichés instantanés de volumes, désactivait la récupération au démarrage de Windows et effaçait les informations de sauvegarde. L’une de ses commandes faisait appel à WMIC pour supprimer les clichés instantanés.
WMIC n’était pas à l’origine de l’infection initiale par WannaCry. Toutefois, les rançongiciels pouvaient détourner cet outil légitime déjà disponible dans Windows, à moins qu’il n’ait été désactivé ou supprimé manuellement.
WMIC a également été détourné pour perturber la protection antivirus de Windows. Par exemple, un cheval de Troie utilisait WMIC pour déterminer si Windows Defender était actif, puis s’ajoutait à la liste des exclusions de Defender.
En 2021, l’année même où MS a déclaré WMIC obsolète, des attaquants ont diffusé le rançongiciel DeroHE sur des forums. Ce rançongiciel utilisait lui aussi des commandes WMIC pour ajouter des exclusions à MS Defender.
Au cours de son enquête, Windows Latest a constaté que la suppression de WMIC pouvait immédiatement perturber les techniques des attaquants et les tactiques des rançongiciels qui dépendent spécifiquement de cet utilitaire. Les attaquants doivent désormais trouver une autre solution ou parvenir à convaincre les utilisateurs de réinstaller WMIC.
Comment vérifier si WMIC a été supprimé de Windows
Installez la mise à jour de septembre 2026 via Windows Update. Elle apparaît sous le nom Windows 11 KB5124008 et met à niveau les PC vers la build 26200.9445.
Vérifiez que le PC exécute la build 26200.9445 ou une version plus récente. Cette build supprime WMIC et corrige des centaines de failles de sécurité majeures.
Ouvrez le Terminal ou l’Invite de commandes et saisissez WMIC. Si la commande renvoie une erreur indiquant qu’elle n’est pas reconnue, WMIC a bien été supprimé.
Auparavant, la saisie de la commande WMIC affichait une brève description expliquant comment utiliser l’outil en ligne de commande.
MS déconseille de restaurer WMIC sauf en cas de nécessité
Un document d’assistance de MS permet aux utilisateurs de restaurer WMIC au moyen d’un package téléchargeable, mais l’entreprise précise que cette option est uniquement destinée aux applications, scripts ou flux de travail qui dépendent encore de l’utilitaire.
Si vous ne savez pas ce qu’est WMIC, vous n’avez probablement pas besoin de l’installer. Si une application tierce ou un site Web non fiable vous demande soudainement de télécharger WMIC, faites preuve d’une extrême prudence.
Pour les organisations qui dépendent encore de WMIC, MS propose le package téléchargeable comme solution de compatibilité temporaire. Toutefois, l’entreprise souhaite que les utilisateurs migrent vers des solutions de remplacement prises en charge.
« Nous vous encourageons à abandonner cette solution de contournement dès que possible », a averti MS à l’intention des utilisateurs qui prévoient encore de forcer l’installation de WMIC.
Windows Latest dépend de lecteurs comme vous. Définissez-nous comme source préférée sur Google Discover et dans la recherche Google, et aidez nos reportages indépendants à toucher davantage de personnes.
