Siemens Software Center: DLL-uri malițioase în atacuri ClickFix

Siemens a confirmat că o vulnerabilitate din Siemens Software Center, programul cu care clienții descarcă, instalează, activează și actualizează software-ul Siemens cumpărat (și pornesc versiunile de probă), a fost exploatată într-o campanie de malware bazată pe ClickFix. Atacatorii nu au compromis Siemens: au luat o copie legitimă și semnată a programului și au distribuit-o împreună cu DLL-uri malițioase pregătite de ei.

Ce s-a întâmplat

Vulnerabilitatea este CVE-2026-110936, cu un scor CVSS v4 de 8,4. Potrivit SecurityWeek, Siemens a făcut-o publică pe 15 octombrie 2026; două zile mai târziu, avizul a fost actualizat cu versiunea corectată, 4.0.9.8. Pe 19 octombrie, Siemens a adăugat în aviz linkul către o postare de pe blogul său care descrie atacurile în curs.

Defectul este o cale de căutare a DLL-urilor necontrolată: programul nu limitează corect folderele în care caută bibliotecile de încărcat. Un atacator local autentificat poate deci plasa un DLL malițios într-unul dintre aceste foldere și îl poate face să ruleze cu aceleași privilegii ca Software Center. Siemens a recunoscut că versiunea 3.5.8.7, cea mai recentă în momentul atacurilor, încărca fișierele auxiliare din propriul folder fără să le verifice.

Compania precizează că software-ul său nu a fost modificat și că pachetul malițios nu a trecut prin canalele de distribuție Siemens: „din câte știm, niciun sistem, produs sau canal de actualizare Siemens nu a fost compromis”. Siemens împărtășește informațiile despre amenințare cu autoritățile și cu producătorii de soluții EDR. Potrivit SecurityWeek, vulnerabilitatea a fost raportată de Jose Oregon, cercetător la Huntress.

Lanțul de atac

Din descrierile SecurityWeek și Infosecurity Magazine, care preiau postarea Siemens, atacul se desfășoară astfel:

1. Momeala ClickFix: o pagină web afișează o verificare falsă de tipul „nu sunt robot” și îi cere victimei să lipească o comandă în fereastra Run (Win+R) sau în PowerShell.
2. Livrarea pachetului: comanda aduce pe calculator o copie autentică a SiemensSoftwareCenter.exe, cu semnătură digitală validă, însoțită de DLL-urile atacatorului.
3. DLL side-loading: la pornire, programul încarcă din propriul folder bibliotecile atacatorului, care rulează cu privilegiile aplicației.
4. Persistență și conexiune spre exterior: indicatorii Siemens includ o intrare de pornire automată sau o sarcină programată cu numele „Siemens Software Center” și conexiuni către o adresă a atacatorilor.

Titlul The Hacker News indică drept rezultat final un troian de acces de la distanță (RAT); textul complet al articolului nu a fost disponibil pentru această analiză.

Legătura cu Romulus

Siemens atribuie activitatea campaniei Romulus, o campanie ClickFix multiplatformă. Forescout a descris-o pe 14 octombrie: Infosecurity Magazine o definește ca un panou de server care permite reutilizarea tacticilor ClickFix pentru a distribui diferite tipuri de malware, iar SecurityWeek ca o platformă de livrare capabilă să servească mai multe payload-uri. Potrivit SecurityWeek, Forescout a găsit platforma pe mai multe servere, inclusiv pe cel pe care Siemens îl indică drept server de distribuție al pachetului cu programul său, și a văzut-o livrând loaderul LegionLoader și un installer modificat care folosea o aplicație legitimă Stardock pentru același side-loading. Nu se știe cine administrează Romulus.

SecurityWeek amintește și un raport Huntress de la sfârșitul lui septembrie: Custom GPT-uri false de ChatGPT duceau victimele pe pagini ClickFix, iar programe semnate de Canon și apoi de Stardock erau folosite pentru a încărca cod malițios până la instalarea unui RAT, cu cel puțin 40 de incidente gestionate. Nici Huntress, nici Forescout nu menționează Siemens Software Center: potrivit SecurityWeek, infrastructura comună și tehnica similară sugerează că programul Siemens a fost adăugat în același arsenal.

Indicatori de compromitere

Indicatorii publicați de Siemens și preluați de Infosecurity Magazine:

• „Siemens Software Center” printre aplicațiile de pornire sau în Task Scheduler pe un PC pe care programul nu a fost instalat niciodată;
• folderul SM Software Provisioning Service în AppData\Local\Programs;
• fișierele activate.bak sau statinfosta.DB lângă SiemensSoftwareCenter.exe;
• folderul FTSuite cu fișierul ftc.uml în AppData\Local;
• conexiuni de rețea către 96.62.218[.]59.

Postarea Siemens conține și un domeniu activ, care nu apare în sursele disponibile.

Tehnici MITRE ATT&CK

• User Execution: Malicious Copy and Paste (T1204.004), comanda lipită de victimă;
• Hijack Execution Flow: DLL (T1574.001), care în ATT&CK include DLL side-loading;
• Scheduled Task (T1053.005) și Boot or Logon Autostart Execution (T1547), pentru persistență.

Impactul pentru companiile europene și italiene

Punctul delicat este că fișierul executat este autentic și semnat: controalele bazate pe semnătură sau pe hash-ul fișierelor cunoscute îl consideră de încredere. De aceea Siemens recomandă să nu cauți amprenta fișierului său, ci să te concentrezi pe folderele folosite de malware și pe comportamentele suspecte. Primul indicator arată, în plus, că pachetul lovește și calculatoare fără software Siemens: actualizarea instalărilor legitime închide vulnerabilitatea, dar nu îi împiedică pe atacatori să aducă cu ei versiunea vulnerabilă.

Companiile de producție și de inginerie care folosesc software Siemens sunt o țintă credibilă pentru o momeală cu acest nume. Pentru entitățile NIS2, instruirea personalului împotriva ingineriei sociale și controlul software-ului instalat fac parte din măsurile de gestionare a riscurilor.

Ce faci acum

1. Actualizează Siemens Software Center la 4.0.9.8: instalările existente se actualizează singure la următoarea pornire; verifică dacă s-a întâmplat.
2. Caută indicatorii de mai sus, începând cu SiemensSoftwareCenter.exe în căi neobișnuite, precum AppData\Local\Programs, sau pe mașini unde nu ar trebui să existe.
3. Blochează adresa 96.62.218[.]59 și domeniul indicat în postarea Siemens.
4. Descarcă software-ul Siemens doar din surse oficiale.
5. Dacă găsești un PC compromis, cum indică Siemens: izolează-l, oprește mai întâi procesul, apoi elimină intrarea de pornire și sarcina programată și schimbă parolele.
6. Informează personalul cu mesajul Siemens: nu lipi niciodată o comandă dintr-o pagină web în Win+R, în fereastra Run sau în PowerShell; o verificare reală „nu sunt robot” nu cere niciodată așa ceva.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de securitate de pe calculatoare și servere și le grupează în familii precum execuții suspecte și persistență, cu tacticile MITRE ATT&CK în paginile SOC. Cu ARX Trace, analiștii pornesc căutări pe mai multe mașini și verifică modificările fișierelor, utile pentru a găsi folderele și fișierele indicate de Siemens. ARX Horizon îți permite să interoghezi sursele de threat intelligence despre indicatori, iar ARX Shield îți permite să izolezi de rețea un calculator suspect.

Ultima actualizare: 20 octombrie 2026