Siemens anunció que actores maliciosos han explotado una vulnerabilidad en la aplicación Siemens Software Center como parte de una campaña de software malicioso a gran escala. La aplicación mencionada se utiliza para gestionar las operaciones de descarga, instalación, activación y actualización del software que adquieren los clientes, además de iniciar periodos de prueba gratuitos.
La vulnerabilidad lleva el identificador CVE-2026-110936 y sus detalles fueron publicados en un aviso de seguridad emitido por la empresa, obteniendo una puntuación de gravedad de 8.4 según la escala CVSS v4. El problema radica en que el programa no restringe correctamente las ubicaciones donde busca archivos de biblioteca de vínculos dinámicos (DLL), lo que permite a un atacante local autenticado colocar un archivo malicioso y ejecutar código con los mismos privilegios de la aplicación.
Contexto de los ataques vinculados a la campaña Romulus
Siemens vinculó estos ataques a una operación conocida como Romulus, una plataforma multiplataforma para ataques de ClickFix que se basa en mensajes engañosos, como pruebas de verificación falsas, para inducir a los usuarios a copiar y pegar comandos maliciosos en sus dispositivos personales. Investigaciones publicadas por empresas de seguridad como Forescout y Huntress señalaron que esta plataforma fue desplegada en múltiples servidores utilizados para distribuir paquetes maliciosos que dependen de la carga lateral de archivos DLL en aplicaciones firmadas digitalmente de diversos proveedores.
Siemens confirmó que su software no fue manipulado y que el paquete malicioso no se distribuyó a través de sus canales oficiales, señalando que ningún sistema o producto de la compañía fue comprometido. La empresa lanzó la versión 4.0.9.8 para solucionar la vulnerabilidad, la cual llega automáticamente a los usuarios la próxima vez que ejecutan la aplicación.
¿Qué cambia prácticamente para los usuarios y defensores?
- Actualización automática: Los usuarios que tienen la aplicación instalada reciben la corrección de seguridad automáticamente al abrir el programa.
- Cambio en la estrategia de defensa: Dado que los archivos de Siemens utilizados en los ataques son originales y están firmados correctamente, la empresa recomienda centrarse en el comportamiento sospechoso y en las carpetas de software malicioso en lugar de depender exclusivamente de los hashes de archivo.
- Colaboración en seguridad: Siemens comparte indicadores de compromiso (IoCs) con las autoridades competentes y proveedores de sistemas de detección y respuesta para terceros (EDR).