Siemens Software Center zakrpljen nakon ClickFix zloupotrebe
Siemens je otklonio ranjivost CVE-2026-110936 u aplikaciji Siemens Software Center, označenu ocenom CVSS v4 8,4, nakon što je iskorišćena u ClickFix napadima za postavljanje trojanca za udaljeni pristup. Ispravka je dostupna u verziji 4.0.9.8, a propust je prijavio istraživač Jose Oregon iz Huntress Labs.
Potpisana aplikacija kao nosač napada
Problem je DLL sideloading: aplikacija učitava biblioteke iz nekontrolisane putanje pretrage. Autentifikovani lokalni napadač zato može da postavi posebno pripremljen DLL u direktorijum koji aplikacija pretražuje i tako izvrši proizvoljan kod sa privilegijama pogođene aplikacije.
Siemens navodi da su napadači koristili originalnu, validno potpisanu kopiju Siemens Software Centera uz sopstveni DLL pod imenom archive.dll. Verzija 3.5.8.7, koja je tada bila najnovija, učitavala je pomoćne fajlove iz sopstvenog foldera bez njihove provere. Potpis i reputacija legitimnog programa tako su služili kao maska za izvršavanje zlonamernog koda.
Kako je izgledao lanac izvršavanja
U zabeleženim aktivnostima msiexec.exe pokreće paket AllMyBasic.msi, koji zatim izvršava SiemensSoftwareCenter.exe. Aktivnost je pripisana ClickFix platformi Romulus, o kojoj ClickFix lanci zasnovani na socijalnom inženjeringu beleži i lance zasnovane na socijalnom inženjeringu, a Forescout je povezao platformu sa isporukom Legion Loadera i drugog malvera putem DLL sideloadinga.
Huntress je u pojedinim kampanjama uočio zlonamerne ChatGPT Custom GPT-ove koji žrtvu usmeravaju na lažni URL. ClickFix mamac navodi korisnika da kopira i izvrši sadržaj, posle čega PowerShell preuzima MSI instalater. Taj instalater zloupotrebljava DLL sideloading kako bi na kraju postavio trojanac za udaljeni pristup.
Mere za administratore
Organizacije treba da nadograde Siemens Software Center na verziju 4.0.9.8 ili noviju, a zatim pokrenu aplikaciju kako bi se ažuriranje primenilo. Siemens takođe preporučuje blokiranje adresa 96.62.218[.]59 i 2.27.248[.]127, kao i domena wizardexpensive[.]com, koji su povezani sa isporukom sadržaja ili komandno-kontrolnom komunikacijom.
U endpoint nadzoru treba tražiti SiemensSoftwareCenter.exe pokrenut iz putanje AppData\Local\Programs, naročito kada mu je roditeljski proces msiexec.exe. Kombinacija pravovremenog ažuriranja, blokiranja indikatora i provere ovakvog stabla procesa daje operativnim timovima konkretan način da smanje rizik od ove kampanje.