이번 주에 배포된 Windows 11 필수 업데이트에서 랜섬웨어에 악용돼 온 정상적인 도구인 WMIC가 마침내 제거되었습니다. 기업 환경 외부의 사용자는 WMIC에 대해 들어본 적조차 없을 수 있지만, 위험은 기업에만 국한되지 않았습니다. 일반 소비자도 PC에 WMIC가 설치되어 있다면 영향을 받을 수 있었습니다.
Windows Management Instrumentation Command-line으로 더 잘 알려진 WMIC는 수십 년 동안 Windows에 포함되어 왔으며 악성 소프트웨어가 아닙니다. 이는 사용자가 Windows Management Instrumentation(WMI)을 통해 Windows PC를 조회하고 관리할 수 있도록 지원하는 정상적인 명령줄 도구로, 주로 기업에서 사용되었습니다. 하지만 IT 부서 외부의 사용자도 Windows 관리와 자동화를 위해 이를 사용했기 때문에 소비자용 에디션에도 WMIC가 사전 설치되었습니다.
MS는 2021년 5월 Windows 10 버전 21H1 출시와 함께 WMIC를 사용 중단 대상으로 지정했지만, 이후에도 주문형 기능으로 사전 설치된 상태를 유지했습니다. 이제 2026년 9월 업데이트인 Windows 11 KB5124008을 통해 WMIC가 완전히 제거되었으며 더 이상 주문형 기능으로 제공되지 않습니다.
MS는 WMIC를 복원하는 대신, 여전히 WMIC에 의존하는 앱, 스크립트 및 워크플로를 지원되는 대체 수단으로 마이그레이션할 것을 권장합니다.
WMIC는 랜섬웨어가 일반 소비자를 포함한 모든 사용자를 공격할 수 있게 했습니다
WMIC 관련 악용은 일반 가정용 사용자에게도 영향을 미쳤습니다. 가장 흔한 수법 중 하나는 Windows의 볼륨 섀도 복사본을 삭제하는 것이었습니다.
Windows는 개인 파일을 포함한 파일의 이전 버전을 사용자가 복구할 수 있도록 볼륨 섀도 복사본을 유지합니다. Windows 복구 기능 역시 시스템을 이전 상태로 되돌린다는 더 광범위한 개념을 기반으로 합니다.
WMIC를 악용하는 공격자는 먼저 볼륨 섀도 복사본 삭제를 시도해, 랜섬웨어가 데이터를 암호화한 후 사용자가 이전 상태로 쉽게 되돌리거나 데이터를 복구하지 못하게 할 수 있었습니다. 이러한 위협은 단순한 이론에 그치지 않았습니다. 신뢰할 수 있는 보고에 따르면 잘 알려진 랜섬웨어 변종인 TeslaCrypt 4.1b가 WMIC를 이용해 감염된 PC에서 볼륨 섀도 복사본을 삭제했습니다.
Windows Latest가 파악한 바에 따르면 WMIC는 Serpent, WhiteRose, Zenis, Saturn을 비롯한 수많은 랜섬웨어 계열에도 악용되었습니다.
악명 높은 WannaCry 랜섬웨어조차 볼륨 섀도 복사본을 삭제하고 Windows 시작 복구를 비활성화했으며 백업 정보를 제거했습니다. 이 랜섬웨어가 사용한 명령 중 하나는 WMIC를 호출해 섀도 복사본을 삭제했습니다.
WMIC가 최초의 WannaCry 감염을 일으킨 것은 아닙니다. 하지만 수동으로 비활성화하거나 제거하지 않는 한, 랜섬웨어는 Windows에 이미 포함된 이 정상적인 도구를 악용할 수 있었습니다.
WMIC는 Windows 바이러스 백신 보호 기능을 방해하는 데에도 악용되었습니다. 예를 들어 한 트로이 목마는 WMIC를 사용해 Windows Defender가 실행 중인지 확인한 다음, 자신을 Defender의 제외 목록에 추가했습니다.
MS가 WMIC를 사용 중단 대상으로 지정한 해인 2021년에는 공격자들이 포럼을 통해 DeroHE 랜섬웨어를 배포했습니다. 이 랜섬웨어 역시 WMIC 명령을 사용해 MS Defender 제외 항목을 추가했습니다.
Windows Latest는 조사 결과, WMIC를 제거하면 해당 유틸리티에 직접 의존하는 공격 기법과 랜섬웨어 전술을 즉시 차단할 수 있다는 사실을 확인했습니다. 이제 공격자는 대체 수단을 찾거나 어떤 방식으로든 사용자가 WMIC를 다시 설치하도록 유도해야 합니다.
Windows에서 WMIC가 제거되었는지 확인하는 방법
Windows Update를 통해 2026년 9월 업데이트를 설치합니다. 이 업데이트는 Windows 11 KB5124008로 표시되며 PC를 빌드 26200.9445로 업그레이드합니다.
PC에서 빌드 26200.9445 이상이 실행 중인지 확인합니다. 이 빌드에서는 WMIC가 제거되고 수백 건의 주요 보안 문제가 패치됩니다.
터미널 또는 명령 프롬프트를 열고 WMIC를 입력합니다. 명령을 인식할 수 없다는 오류가 표시되면 WMIC가 제거된 것입니다.
이전에는 WMIC 명령을 입력하면 해당 명령줄 도구의 사용 방법을 설명하는 간단한 안내가 표시되었습니다.
MS는 필요하지 않다면 WMIC를 복원하지 말라고 권고합니다
MS 지원 문서에 따르면 사용자는 다운로드 가능한 패키지를 통해 WMIC를 복원할 수 있지만, MS는 이 옵션이 여전히 해당 유틸리티에 의존하는 앱, 스크립트 또는 워크플로만을 위한 것이라고 분명히 밝혔습니다.
WMIC가 무엇인지 모른다면 설치할 필요가 없을 가능성이 높습니다. 타사 앱이나 신뢰할 수 없는 웹사이트가 갑자기 WMIC를 다운로드하라고 안내한다면 각별히 주의해야 합니다.
여전히 WMIC에 의존하는 조직을 위해 MS는 임시 호환성 해결책으로 다운로드 가능한 패키지를 제공합니다. 하지만 MS는 사용자가 지원되는 대체 수단으로 마이그레이션하기를 원합니다.
“가능한 한 빨리 이 임시 해결책의 사용을 중단하시기 바랍니다.” MS는 여전히 WMIC를 강제로 설치하려는 사용자에게 경고했습니다.
Windows Latest는 여러분과 같은 독자들의 지원으로 운영됩니다. Google Discover와 Google 검색에서 Windows Latest를 선호 소스로 설정하여 독립적인 보도가 더 많은 사람에게 전달될 수 있도록 도와주세요.
