Siemens Software Center sfruttato con DLL malevole via ClickFix

Siemens ha confermato che una vulnerabilità di Siemens Software Center, il programma con cui i clienti scaricano, installano, attivano e aggiornano i software Siemens acquistati (e avviano le versioni di prova), è stata sfruttata in una campagna di malware basata su ClickFix. Gli attaccanti non hanno compromesso Siemens: hanno preso una copia legittima e firmata del programma e l’hanno distribuita insieme a DLL malevole preparate da loro.

Cosa è successo

La vulnerabilità è la CVE-2026-110936, con punteggio CVSS v4 di 8,4. Secondo SecurityWeek, Siemens l’ha resa pubblica il 15 ottobre 2026; due giorni dopo l’avviso è stato aggiornato con la versione correttiva, la 4.0.9.8. Il 19 ottobre Siemens ha aggiunto all’avviso il collegamento a un post del proprio blog che descrive gli attacchi in corso.

Il difetto è un percorso di ricerca delle DLL non controllato: il programma non limita in modo corretto le cartelle in cui cerca le librerie da caricare. Un attaccante locale autenticato può quindi mettere una DLL malevola in una di quelle cartelle e farla eseguire con gli stessi privilegi di Software Center. Siemens ha ammesso che la versione 3.5.8.7, la più recente al momento degli attacchi, caricava i file di supporto dalla propria cartella senza verificarli.

L’azienda precisa che il suo software non è stato alterato e che il pacchetto malevolo non è passato dai canali di distribuzione Siemens: «per quanto ci risulta, nessun sistema, prodotto o canale di aggiornamento Siemens è stato violato». Siemens condivide le informazioni sulla minaccia con le autorità e con i produttori di soluzioni EDR. Secondo SecurityWeek, la vulnerabilità è stata segnalata da Jose Oregon, ricercatore di Huntress.

La catena d’attacco

Dalle descrizioni di SecurityWeek e Infosecurity Magazine, che riportano il post di Siemens, l’attacco procede così:

1. Esca ClickFix: una pagina web mostra una finta verifica, del tipo «non sono un robot», e chiede alla vittima di incollare un comando nella finestra Esegui (Win+R) o in PowerShell.
2. Consegna del pacchetto: il comando porta sul computer una copia autentica di SiemensSoftwareCenter.exe, con firma digitale valida, accompagnata dalle DLL dell’attaccante.
3. DLL side-loading: all’avvio il programma carica dalla propria cartella le librerie fornite dall’attaccante, che girano con i privilegi dell’applicazione.
4. Persistenza e collegamento all’esterno: gli indicatori di Siemens comprendono una voce di avvio automatico o un’attività pianificata con il nome «Siemens Software Center» e connessioni verso un indirizzo degli attaccanti.

Il titolo di The Hacker News indica come risultato finale un trojan di accesso remoto (RAT); il testo completo dell’articolo non era disponibile per questa analisi.

Il legame con Romulus

Siemens attribuisce l’attività a Romulus, una campagna ClickFix multipiattaforma. Forescout l’ha descritta il 14 ottobre: Infosecurity Magazine la definisce un pannello per server che permette di riusare le tattiche ClickFix per distribuire diversi tipi di malware, SecurityWeek una piattaforma di consegna in grado di servire più payload. Secondo SecurityWeek, Forescout ha trovato la piattaforma su più server, compreso quello che Siemens indica come server di distribuzione del pacchetto con il suo programma, e l’ha vista consegnare il loader LegionLoader e un installer modificato che sfruttava un’applicazione legittima di Stardock per lo stesso side-loading. Chi gestisca Romulus non è noto.

SecurityWeek ricorda anche un rapporto di Huntress di fine settembre: finti Custom GPT di ChatGPT portavano le vittime su pagine ClickFix, e programmi firmati di Canon e poi di Stardock venivano usati per caricare codice malevolo fino all’installazione di un RAT, con almeno 40 incidenti gestiti. Né Huntress né Forescout citano Siemens Software Center: secondo SecurityWeek, l’infrastruttura in comune e la tecnica simile fanno pensare che il programma Siemens sia stato aggiunto allo stesso arsenale.

Indicatori di compromissione

Gli indicatori pubblicati da Siemens e riportati da Infosecurity Magazine:

• «Siemens Software Center» tra le app di avvio o nell’Utilità di pianificazione di un PC su cui il programma non è mai stato installato;
• la cartella SM Software Provisioning Service in AppData\Local\Programs;
• i file activate.bak o statinfosta.DB accanto a SiemensSoftwareCenter.exe;
• la cartella FTSuite con il file ftc.uml in AppData\Local;
• connessioni di rete verso 96.62.218[.]59.

Il post di Siemens elenca anche un dominio attivo, non riportato dalle fonti disponibili.

Tecniche MITRE ATT&CK

• User Execution: Malicious Copy and Paste (T1204.004), il comando incollato dalla vittima;
• Hijack Execution Flow: DLL (T1574.001), che in ATT&CK comprende il DLL side-loading;
• Scheduled Task (T1053.005) e Boot or Logon Autostart Execution (T1547), per la persistenza.

Impatto per le aziende europee e italiane

Il punto delicato è che il file eseguito è autentico e firmato: i controlli basati sulla firma o sull’hash di file noti lo considerano affidabile. Per questo Siemens raccomanda di non cercare l’impronta del suo file, ma di concentrarsi sulle cartelle usate dal malware e sui comportamenti sospetti. Il primo indicatore mostra inoltre che il pacchetto colpisce anche computer senza software Siemens: aggiornare le installazioni legittime chiude la vulnerabilità, ma non impedisce agli attaccanti di portare con sé la versione vulnerabile.

Le aziende manifatturiere e di ingegneria che usano software Siemens sono un bersaglio credibile per un’esca che usa quel nome. Per i soggetti NIS2, formazione del personale contro l’ingegneria sociale e controllo del software installato rientrano tra le misure di gestione del rischio.

Cosa fare subito

1. Aggiorna Siemens Software Center alla 4.0.9.8: le installazioni esistenti si aggiornano da sole al primo avvio, verifica che sia successo.
2. Cerca gli indicatori elencati, a partire da SiemensSoftwareCenter.exe in percorsi insoliti, come AppData\Local\Programs, o su macchine dove non dovrebbe esserci.
3. Blocca l’indirizzo 96.62.218[.]59 e il dominio indicato nel post di Siemens.
4. Scarica i software Siemens solo dalle fonti ufficiali.
5. Se trovi un PC compromesso, come indica Siemens: isolalo, ferma prima il processo, poi togli la voce di avvio e l’attività pianificata e cambia le password.
6. Informa il personale con il messaggio di Siemens: non incollare mai un comando preso da una pagina web in Win+R, nella finestra Esegui o in PowerShell; una vera verifica «non sono un robot» non lo chiede mai.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di sicurezza da computer e server e li raggruppa in famiglie come esecuzioni sospette e persistenza, con le tattiche MITRE ATT&CK nelle pagine del SOC. Con ARX Trace gli analisti avviano ricerche su più macchine e controllano le modifiche ai file, utili per trovare le cartelle e i file indicati da Siemens. ARX Horizon permette di interrogare le fonti di threat intelligence sugli indicatori, e ARX Shield consente di isolare dalla rete un computer sospetto.

Ultimo aggiornamento: 20 ottobre 2026