Siemens исправила уязвимость Software Center, использованную в атаках ClickFix
Siemens выпустила исправление для уязвимости CVE-2026-110936 в Siemens Software Center, которую злоумышленники уже использовали в кампаниях ClickFix для установки трояна удалённого доступа. Проблема получила 8,4 балла по CVSS v4 и устранена в версии 4.0.9.8.
Подписанное приложение использовали как носитель
Ошибка связана с DLL sideloading: приложение загружало динамические библиотеки из неконтролируемого пути поиска. Аутентифицированный локальный атакующий мог поместить специально подготовленную DLL в каталог, который проверяет программа, и добиться выполнения кода с правами затронутого приложения.
Siemens зафиксировала злоупотребление подлинной подписанной копией Software Center. Рядом с исполняемым файлом злоумышленники размещали подготовленную библиотеку archive.dll, после чего запускали вредоносный код. В качестве носителя выбрали доверенную подписанную программу: версия 3.5.8.7, актуальная на момент атак, загружала вспомогательные файлы из собственной папки без их проверки.
Исследователь Huntress Labs Хосе Орегон обнаружил и сообщил о недостатке. Риск такой цепочки понятнее, когда цепочки ClickFix и доставки вредоносных программ описывает применение ClickFix и его роль в доставке вредоносных программ.
Как работала цепочка доставки
В выявленных эпизодах злоумышленники запускали msiexec.exe, который открывал пакет AllMyBasic.msi. Тот запускал SiemensSoftwareCenter.exe, а подложенная DLL обеспечивала дальнейшее выполнение вредоносного кода.
Siemens связала активность с платформой доставки ClickFix под названием Romulus. Forescout ранее описала Romulus как механизм, применяемый для доставки Legion Loader и другого вредоносного ПО с использованием DLL sideloading.
Huntress также сообщила, что в части кампаний вредоносные пользовательские GPT в ChatGPT направляли жертв на поддельный адрес. Страница показывала приманку ClickFix: скопированная и выполненная жертвой команда запускала PowerShell, загружала MSI-установщик и через подмену DLL приводила к установке трояна удалённого доступа.
Что проверить защитникам
Siemens рекомендует обновить Software Center до версии 4.0.9.8 или новее и запустить приложение, чтобы применить обновление. Организациям также предложено блокировать индикаторы компрометации: IP-адреса 96.62.218[.]59 и 2.27.248[.]127, а также домен wizardexpensive[.]com.
Дополнительно следует искать процессы SiemensSoftwareCenter.exe, запущенные из AppData\Local\Programs и дочерние для msiexec.exe. Практический вывод для бизнеса: обновление продукта нужно совместить с проверкой журналов конечных точек и блокировкой опубликованных индикаторов, поскольку Siemens сообщает об уже зафиксированной эксплуатации.