Siemens Software Center explotado con DLL maliciosas vía ClickFix

Siemens ha confirmado que una vulnerabilidad de Siemens Software Center, el programa con el que los clientes descargan, instalan, activan y actualizan el software de Siemens que han comprado (y abren las versiones de prueba), ha sido explotada en una campaña de malware basada en ClickFix. Los atacantes no comprometieron a Siemens: tomaron una copia legítima y firmada del programa y la distribuyeron junto con DLL maliciosas preparadas por ellos.

Qué ha pasado

La vulnerabilidad es la CVE-2026-110936, con una puntuación CVSS v4 de 8,4. Según SecurityWeek, Siemens la hizo pública el 15 de octubre de 2026; dos días después, el aviso se actualizó con la versión corregida, la 4.0.9.8. El 19 de octubre Siemens añadió al aviso el enlace a una entrada de su blog que describe los ataques en curso.

El fallo es una ruta de búsqueda de DLL no controlada: el programa no limita correctamente las carpetas en las que busca las bibliotecas que debe cargar. Un atacante local autenticado puede, por tanto, colocar una DLL maliciosa en una de esas carpetas y hacer que se ejecute con los mismos privilegios que Software Center. Siemens ha admitido que la versión 3.5.8.7, la más reciente en el momento de los ataques, cargaba los archivos auxiliares desde su propia carpeta sin verificarlos.

La empresa precisa que su software no fue alterado y que el paquete malicioso no pasó por los canales de distribución de Siemens: «hasta donde sabemos, ningún sistema, producto o canal de actualización de Siemens ha sido vulnerado». Siemens comparte la información sobre la amenaza con las autoridades y con los fabricantes de soluciones EDR. Según SecurityWeek, la vulnerabilidad fue notificada por Jose Oregon, investigador de Huntress.

La cadena de ataque

Según las descripciones de SecurityWeek e Infosecurity Magazine, que recogen la entrada de Siemens, el ataque funciona así:

1. Señuelo ClickFix: una página web muestra una falsa verificación del tipo «no soy un robot» y pide a la víctima que pegue un comando en el cuadro Ejecutar (Win+R) o en PowerShell.
2. Entrega del paquete: el comando lleva al equipo una copia auténtica de SiemensSoftwareCenter.exe, con firma digital válida, acompañada de las DLL del atacante.
3. DLL side-loading: al arrancar, el programa carga desde su propia carpeta las bibliotecas del atacante, que se ejecutan con los privilegios de la aplicación.
4. Persistencia y conexión al exterior: los indicadores de Siemens incluyen una entrada de inicio automático o una tarea programada con el nombre «Siemens Software Center» y conexiones hacia una dirección de los atacantes.

El titular de The Hacker News señala como resultado final un troyano de acceso remoto (RAT); el texto completo del artículo no estaba disponible para este análisis.

La relación con Romulus

Siemens atribuye la actividad a Romulus, una campaña ClickFix multiplataforma. Forescout la describió el 14 de octubre: Infosecurity Magazine la define como un panel de servidor que permite reutilizar las tácticas ClickFix para distribuir distintos tipos de malware, y SecurityWeek como una plataforma de entrega capaz de servir varios payloads. Según SecurityWeek, Forescout encontró la plataforma en varios servidores, incluido el que Siemens identifica como servidor de distribución del paquete con su programa, y la vio entregar el loader LegionLoader y un instalador modificado que abusaba de una aplicación legítima de Stardock para el mismo side-loading. No se sabe quién gestiona Romulus.

SecurityWeek recuerda también un informe de Huntress de finales de septiembre: falsos Custom GPT de ChatGPT llevaban a las víctimas a páginas ClickFix, y programas firmados de Canon y después de Stardock se usaban para cargar código malicioso hasta instalar un RAT, con al menos 40 incidentes atendidos. Ni Huntress ni Forescout mencionan Siemens Software Center: según SecurityWeek, la infraestructura compartida y la técnica similar hacen pensar que el programa de Siemens se ha añadido al mismo arsenal.

Indicadores de compromiso

Los indicadores publicados por Siemens y recogidos por Infosecurity Magazine:

• «Siemens Software Center» entre las aplicaciones de inicio o en el Programador de tareas de un PC en el que el programa nunca se ha instalado;
• la carpeta SM Software Provisioning Service en AppData\Local\Programs;
• los archivos activate.bak o statinfosta.DB junto a SiemensSoftwareCenter.exe;
• la carpeta FTSuite con el archivo ftc.uml en AppData\Local;
• conexiones de red hacia 96.62.218[.]59.

La entrada de Siemens incluye también un dominio activo, que no aparece en las fuentes disponibles.

Técnicas MITRE ATT&CK

• User Execution: Malicious Copy and Paste (T1204.004), el comando pegado por la víctima;
• Hijack Execution Flow: DLL (T1574.001), que en ATT&CK incluye el DLL side-loading;
• Scheduled Task (T1053.005) y Boot or Logon Autostart Execution (T1547), para la persistencia.

Impacto para las empresas europeas e italianas

El punto delicado es que el archivo ejecutado es auténtico y está firmado: los controles basados en la firma o en el hash de archivos conocidos lo consideran fiable. Por eso Siemens recomienda no buscar la huella de su archivo, sino centrarse en las carpetas que usa el malware y en los comportamientos sospechosos. El primer indicador muestra además que el paquete afecta también a equipos sin software de Siemens: actualizar las instalaciones legítimas cierra la vulnerabilidad, pero no impide que los atacantes lleven consigo la versión vulnerable.

Las empresas de fabricación e ingeniería que usan software de Siemens son un objetivo creíble para un señuelo con ese nombre. Para las entidades sujetas a NIS2, la formación del personal contra la ingeniería social y el control del software instalado forman parte de las medidas de gestión de riesgos.

Qué hacer ya

1. Actualiza Siemens Software Center a la 4.0.9.8: las instalaciones existentes se actualizan solas en el siguiente arranque; comprueba que haya ocurrido.
2. Busca los indicadores indicados, empezando por SiemensSoftwareCenter.exe en rutas inusuales, como AppData\Local\Programs, o en equipos donde no debería estar.
3. Bloquea la dirección 96.62.218[.]59 y el dominio indicado en la entrada de Siemens.
4. Descarga el software de Siemens solo desde fuentes oficiales.
5. Si encuentras un PC comprometido, como indica Siemens: aíslalo, detén primero el proceso, luego elimina la entrada de inicio y la tarea programada y cambia las contraseñas.
6. Informa al personal con el mensaje de Siemens: nunca pegues un comando copiado de una página web en Win+R, en el cuadro Ejecutar o en PowerShell; una verificación real de «no soy un robot» nunca lo pide.

Cómo ayuda ARXDOME

ARX Sentry recoge registros y eventos de seguridad de equipos y servidores y los agrupa en familias como ejecuciones sospechosas y persistencia, con las tácticas MITRE ATT&CK en las páginas del SOC. Con ARX Trace, los analistas lanzan búsquedas en varias máquinas y revisan los cambios en los archivos, útiles para encontrar las carpetas y los archivos indicados por Siemens. ARX Horizon permite consultar las fuentes de threat intelligence sobre los indicadores, y ARX Shield permite aislar de la red un equipo sospechoso.

Última actualización: 20 de octubre de 2026