Злоумышленники использовали уязвимость CVE-2026-110936 в программе Siemens Software Center для заражения операционной системы Windows. Эта программа предназначена для загрузки, установки, активации и обновления приложений Siemens, а также для запуска бесплатных пробных версий. Злоумышленники подменяли DLL-файлы, загружаемые программой, при этом используя подлинную цифровую подпись приложения для маскировки вредоносной активности.
«Насколько нам известно, ни одна система, продукт или канал обновлений Siemens не были взломаны», — заявила компания.
Проблема заключалась в недостаточной проверке программой расположения DLL-файлов. Локальный пользователь с правами аутентифицированного доступа мог поместить вредоносную библиотеку в одну из таких папок и добиться исполнения своего кода с теми же привилегиями, что и у Software Center. Siemens опубликовала описание уязвимости с оценкой 8,4 балла по шкале CVSS 4.0 и подтвердила, что проблема устранена в версии 4.0.9.8. Установленная программа получает исправление автоматически при следующем запуске.
Siemens отдельно раскрыла факт реальных атак. Злоумышленники использовали подлинную копию Siemens Software Center с действительной цифровой подписью, но помещали рядом собственные вредоносные DLL-файлы. При запуске приложение загружало их из своей папки, позволяя выполнить вредоносный код. Siemens подчеркнула, что сама программа не была изменена, а заражённый пакет не распространялся через каналы поставки компании.
Siemens передаёт сведения об угрозе правоохранительным органам и поставщикам EDR-систем. В опубликованных материалах приведены индикаторы компрометации и признаки возможного заражения. Siemens связывает атаки с Romulus — многоцелевой платформой распространения вредоносного ПО через ClickFix. В подобных кампаниях злоумышленники показывают поддельные проверки CAPTCHA или другие убедительные инструкции, побуждая пользователей самостоятельно копировать и выполнять вредоносные команды.
Ранее компания Forescout обнаружила Romulus на нескольких серверах, в том числе на сервере распространения пакета с поддельными компонентами Siemens. Платформа доставляла вредоносную программу LegionLoader, а также модифицированный установщик, который использовал легитимное приложение Stardock для загрузки вредоносного кода через механизм DLL side-loading. Forescout не смогла установить, кто управляет Romulus.
В конце сентября Huntress описала похожую кампанию, в которой злоумышленники заманивали пользователей на страницы ClickFix через поддельные пользовательские GPT в ChatGPT, а затем использовали подписанные программы Canon и Stardock для загрузки вредоносного кода, который устанавливал троян удалённого доступа. Huntress сообщила как минимум о 40 связанных инцидентах и предположила, что злоумышленники могут использовать аналогичным образом программы других производителей. Siemens Software Center в предыдущих отчётах Forescout и Huntress не упоминалась, однако совпадение инфраструктуры и метода атаки указывает на возможное включение приложения в тот же набор инструментов.