Siemens отстрани уязвимост за странично зареждане на DLL (DLL sideloading), засягаща Siemens Software Center, за която съобщи, че се експлоатира при атаки от типа ClickFix.

Уязвимостта с висока степен на опасност, проследявана като CVE-2026-110936 (CVSS v4 оценка: 8.4), би могла да позволи на атакуващ да постави специално модифициран DLL файл в директория, в която приложението търси, което води до изпълнение на зловреден код със същите привилегии като на засегнатата услуга.

„Засегнатото приложение зарежда библиотеки с динамично свързване (DLL) от неконтролиран път за търсене“, заявиха от Siemens в бюлетин за сигурност. „Това би могло да позволи на автентикиран локален атакуващ да постави специално разработен DLL файл в директория, претърсвана от приложението, което води до изпълнение на произволен код с правата на засегнатото приложение.“

Проблемът е коригиран във версия 4.0.9.8. Откриването и докладването на уязвимостта са приписани на изследователя Хосе Орегон от Huntress Labs.

В отделно предупреждение Siemens посочва, че нападателите са злоупотребили с легитимно копие на Siemens Software Center с валиден цифров подпис и са поставили свой модифициран DLL файл („archive.dll“) до него, за да задействат изпълнението на зловреден код.

„Те са избрали тази програма като носител, тъй като е подписана и надеждна, както и защото версия 3.5.8.7, най-новата версия към онзи момент, зарежда помощни файлове от собствената си папка, без да ги проверява“, допълват от Siemens.

По-конкретно е установено, че киберпрестъпниците използват „msiexec.exe“, за да стартират „AllMyBasic.msi“, който след това изпълнява „SiemensSoftwareCenter.exe“. Дейността се приписва на платформа за разпространение чрез ClickFix, наречена Romulus, описана подробно от Forescout миналата седмица като инструмент за разпространение на Legion Loader и друг зловреден софтуер чрез странично зареждане на DLL.

Според Huntress някои от тези кампании са използвали компрометирани или злонамерени ChatGPT Custom GPTs, за да пренасочват жертвите към фалшив URL адрес, служещ като примамка с ClickFix. Когато потребителят копира и изпълни кода, се задейства PowerShell скрипт, който изтегля MSI инсталатор, злоупотребяващ със странично зареждане на DLL, за да инсталира в крайна сметка троянец за отдалечен достъп (RAT).

Siemens сподели следните индикатори за компрометиране (IoC):

  • 96.62.218[.]59 (Хостинг на зловреден код и командно-контролен сървър)
  • wizardexpensive[.]com (Хостинг на зловреден код и командно-контролен сървър)
  • 2.27.248[.]127 (Канал за разпространение на AllMyBasic.msi)

Освен актуализирането на Siemens Software Center до версия 4.0.9.8 или по-нова и стартирането на приложението за прилагане на корекцията за сигурност, на организациите се препоръчва да блокират IP адресите и домейните, свързани със злонамерената дейност, както и да следят за стартиране на „SiemensSoftwareCenter.exe“ от директорията „AppData\Local\Programs“, инициирано от „msiexec.exe“.