SecAtor

Злоумышленники использовали подлинную, подписанную копию Siemens Software Center в сочетании со вредоносными DLL-файлами для заражения компьютеров под управлением Windows с помощью ClickFix. Siemens Software Center обеспечивает загрузку, установку, активацию и обновление ПО, приобретенного клиентами, а также может использоваться для запуска бесплатных пробных версий. CVE-2026-110936 обусловлена тем, что программа некорректно ограничивает места поиска DLL-файлов. Авторизованный локальный злоумышленник может внедрить вредоносный DLL в одну из этих папок и выполнить свой код с теми же привилегиями, что и Software Center. Siemens сообщила об уязвимости 15 октября в уведомлении, присвоив ей оценку CVSS v4 8,4. Два дня спустя компания обновила его, поясняя что версия 4.0.9.8 устраняет проблему. Пользователи, у которых приложение уже установлено, получат исправление автоматически при следующем запуске. В предупреждении не упоминалось об использовании уязвимостей в реальных условиях до понедельника, когда Siemens добавила ссылку на новое уведомление c описанием атаки. Злоумышленники сопоставили легитимную копию программы Siemens, имеющую действительную цифровую подпись, с вредоносными DLL. При запуске программа загружала предоставленные злоумышленниками файлы из своей собственной папки. Siemens отметила, что версия 3.5.8.7, самая новая на тот момент, не проверяла эти вспомогательные файлы перед их загрузкой, а ПО не подвергалось изменениям и что вредоносный пакет не распространялся через каналы дистрибуции. Компания поделилась информацией об угрозах с силовиками и поставщиками решений EDR. В своем блоге компания привела также список IOCs, а также признаки возможного заражения компьютера. Поскольку файл Siemens, использованный в атаках, является легитимным, компания рекомендует сосредоточиться на подозрительном поведении и папках, связанных с вредоносным ПО, вместо того чтобы полагаться на хеши файлов. Siemens связала атаки с Romulus, многоплатформенной кампанией ClickFix. Атаки основаны на поддельных запросах, включая ложные проверки CAPTCHA, которые предписывают пользователям вставлять и выполнять вредоносные команды на своих устройствах. На прошлой неделе Forescout представила исследование Romulus, платформы доставки ClickFix, способной распространять несколько различных вредоносных ПО. Платформа работает на нескольких серверах, включая тот, который Siemens определила как сервер распространения вредоносного пакета, содержащего её ПО. По данным Forescout, платформа распространяла вредоносное ПО LegionLoader, а также троянизированный установщик, который использовал легитимное приложение Stardock для установки DLL-файлов. Вместе с тем, исследователи не смогли установить, кто управляет Romulus. В конце сентября Huntress также описывала тот же пакет на основе Stardock в отчете о кампании, в которой использовались вредоносные пользовательские GPT-файлы ChatGPT для заманивания пользователей на страницы ClickFix. В ходе этих атак использовались подписанные программы от Canon, а позже от Stardock, для загрузки вредоносного кода, который в конечном итоге развертывал RAT. Huntress отработала как минимум на 40 инцидентов, связанных с кампанией, заявляя, что, по ее мнению, подписанные программы от других поставщиков, вероятно, также используются не по назначению. В отчетах Huntress и Forescout программное обеспечение Siemens не упоминается. Однако дублирующаяся инфраструктура и схожий подход к загрузке позволяют предположить, что софт Siemens мог быть добавлен в тот же набор инструментов.