Microsoft empieza a eliminar WMIC, la herramienta que los atacantes usaban para operar sin malware
La compañía retiró la utilidad de línea de comandos WMIC de Windows 11 24H2 y 25H2, así como de las compilaciones beta liberadas esta semana.
Microsoft anunció que retiró la herramienta de línea de comandos de Instrumental de Administración de Windows (WMIC) de Windows 11 24H2 y 25H2, además de las compilaciones beta liberadas esta semana. La compañía había señalado la utilidad como obsoleta hace una década.
Un binario legítimo con historial de abuso
WMIC permitía consultar y modificar prácticamente cualquier aspecto del sistema desde la línea de comandos: procesos en ejecución, servicios, discos, usuarios y equipos remotos del dominio. Esa amplitud lo convirtió en herramienta preferida para técnicas de living off the land, en las que el atacante opera exclusivamente con binarios firmados por Microsoft y evita desplegar malware que un antivirus pudiera detectar.
Lo que gana y pierde la defensa
Retirar el binario elimina una vía cómoda de reconocimiento y movimiento lateral. La funcionalidad subyacente permanece disponible mediante PowerShell y los cmdlets CIM, que ofrecen registro de actividad y control de ejecución mucho más granulares que WMIC, un componente diseñado en una época sin telemetría de seguridad.
El costo recae sobre los equipos de operaciones. Décadas de scripts de inventario, despliegue y diagnóstico dependen de WMIC, y buena parte de ellos fue escrita por personal que ya no está en la organización. Los inventarios de automatización tienden a ser incompletos, y las fallas aparecen en producción.
Lectura desde Tabuga Intelligence
En el parque corporativo dominicano abundan los scripts heredados de administración de Windows sin documentación ni responsable asignado. La migración a Windows 11 24H2 romperá los que invoquen WMIC, y el síntoma aparecerá como una tarea programada que dejó de generar su reporte, no como un error visible.
La acción sensata para cualquier área de infraestructura es buscar la cadena "wmic" en todos los repositorios de scripts y tareas programadas antes de avanzar con el despliegue. Es una hora de trabajo que evita semanas de diagnóstico difuso.
Fuente: BleepingComputer, 18 de agosto de 2026.