Siemens hat bekannt gegeben, dass böswillige Akteure eine Schwachstelle in der Anwendung Siemens Software Center als Teil einer umfassenden Malware-Kampagne ausnutzen. Die genannte Anwendung wird zur Verwaltung von Downloads, Installationen, Aktivierungen und Updates der von Kunden erworbenen Software sowie zum Starten kostenloser Testversionen verwendet.
Die Schwachstelle trägt die Kennung CVE-2026-110936. Details dazu wurden in einer Sicherheitswarnung des Unternehmens veröffentlicht, in der sie mit einem Schweregrad von 8,4 auf der CVSS v4-Skala bewertet wurde. Das Problem liegt darin, dass das Programm die Speicherorte, an denen es nach Dynamic Link Library (DLL)-Dateien sucht, nicht ordnungsgemäß einschränkt. Dies ermöglicht es einem lokal authentifizierten Angreifer, eine schädliche Datei einzuschleusen und Code mit den Berechtigungen der Anwendung selbst auszuführen.
Kontext der Angriffe im Zusammenhang mit der Romulus-Kampagne
Siemens brachte diese Angriffe mit einer Operation namens Romulus in Verbindung, einer plattformübergreifenden Plattform für ClickFix-Angriffe. Diese stützt sich auf betrügerische Nachrichten, wie etwa gefälschte Verifizierungstests, um Benutzer dazu zu verleiten, bösartige Befehle auf ihren persönlichen Geräten zu kopieren und einzufügen. Untersuchungen von Sicherheitsunternehmen wie Forescout und Huntress ergaben, dass diese Plattform auf mehreren Servern eingesetzt wurde, die zur Verbreitung bösartiger Pakete dienten, welche auf DLL-Side-Loading in digital signierten Anwendungen verschiedener Anbieter basieren.
Siemens betonte, dass seine Software nicht manipuliert wurde und das bösartige Paket nicht über die offiziellen Vertriebskanäle des Unternehmens verbreitet wurde. Zudem wurde darauf hingewiesen, dass kein System oder Produkt des Unternehmens kompromittiert wurde. Das Unternehmen hat die Version 4.0.9.8 zur Behebung der Schwachstelle veröffentlicht, die Benutzer beim nächsten Start der Anwendung automatisch erhalten.
Was ändert sich praktisch für Benutzer und Verteidiger?
- Automatisches Update: Benutzer, die die Anwendung installiert haben, erhalten das Sicherheitsupdate automatisch beim Öffnen des Programms.
- Änderung der Verteidigungsstrategie: Da die bei den Angriffen verwendeten Siemens-Dateien original und ordnungsgemäß signiert sind, empfiehlt das Unternehmen, sich auf verdächtiges Verhalten und Malware-Ordner zu konzentrieren, anstatt sich ausschließlich auf Datei-Hashes zu verlassen.
- Sicherheitskooperation: Siemens teilt Indikatoren für eine Kompromittierung (IoCs) mit den zuständigen Behörden und Anbietern von EDR-Systemen (Endpoint Detection and Response).