Уязвимость Siemens Software Center использовали для заражения Windows через ClickFix

Злоумышленники подменяли не саму программу Siemens, а загружавшиеся ею DLL-файлы, используя подлинную цифровую подпись приложения для маскировки вредоносной активности

Siemens сообщила об эксплуатации уязвимости CVE-2026-110936 в своей программе Software Center, предназначенной для загрузки, установки, активации и обновления приобретённых приложений, а также запуска бесплатных пробных версий.

Проблема заключалась в том, что программа недостаточно строго проверяла расположение DLL-файлов. Локальный пользователь с правами аутентифицированного доступа мог поместить вредоносную библиотеку в одну из таких папок и добиться исполнения своего кода с теми же привилегиями, что и у Software Center. 15 октября Siemens опубликовала описание уязвимости с оценкой 8,4 балла по шкале CVSS 4.0, а 17 октября подтвердила, что проблема устранена в версии 4.0.9.8. Установленная программа получает исправление автоматически при следующем запуске.

В понедельник компания отдельно раскрыла факт реальных атак. Злоумышленники использовали подлинную копию Siemens Software Center с действительной цифровой подписью, но помещали рядом собственные вредоносные DLL-файлы. При запуске приложение загружало их из своей папки, позволяя выполнить вредоносный код. Siemens подчеркнула, что сама программа не была изменена, а заражённый пакет не распространялся через каналы поставки компании. «Насколько нам известно, ни одна система, продукт или канал обновлений Siemens не были взломаны», — заявила компания.

Siemens передаёт сведения об угрозе правоохранительным органам и поставщикам EDR-систем — средств обнаружения и реагирования на кибератаки. В опубликованных материалах приведены индикаторы компрометации и признаки возможного заражения.

Siemens связывает атаки с Romulus — многоцелевой платформой распространения вредоносного ПО через ClickFix. В подобных кампаниях злоумышленники показывают поддельные проверки CAPTCHA или другие убедительные инструкции, побуждая пользователей самостоятельно копировать и выполнять вредоносные команды. Ранее компания Forescout обнаружила Romulus на нескольких серверах, в том числе на сервере распространения пакета с поддельными компонентами Siemens. Платформа доставляла вредоносную программу LegionLoader, а также модифицированный установщик, который использовал легитимное приложение Stardock для загрузки вредоносного кода через механизм DLL side-loading. Forescout не смогла установить, кто управляет Romulus: это может быть частный инструмент, коммерческий сервис для киберпреступников, партнёрская платформа или программа, скопированная несколькими группами.

В конце сентября Huntress описала похожую кампанию, в которой злоумышленники заманивали пользователей на страницы ClickFix через поддельные пользовательские GPT в ChatGPT, а затем использовали подписанные программы Canon и Stardock для загрузки вредоносного кода, в конечном счёте устанавливавшего троян удалённого доступа (RAT). Huntress сообщила как минимум о 40 связанных инцидентах и предположила, что злоумышленники могут использовать аналогичным образом программы других производителей. Siemens Software Center в предыдущих отчётах Forescout и Huntress не упоминалась, однако совпадение инфраструктуры и метода атаки указывает на возможное включение приложения в тот же набор инструментов.