Siemens a annoncé que des acteurs malveillants exploitent une vulnérabilité dans l'application « Siemens Software Center » dans le cadre d'une vaste campagne de logiciels malveillants. L'application en question est utilisée pour gérer le téléchargement, l'installation, l'activation et la mise à jour des logiciels achetés par les clients, ainsi que pour lancer des périodes d'essai gratuites.
La vulnérabilité porte l'identifiant CVE-2026-110936, et ses détails ont été publiés dans un avertissement de sécurité émis par l'entreprise, où elle a reçu un score de gravité de 8,4 selon l'échelle CVSS v4. Le problème réside dans le fait que le programme ne restreint pas correctement les emplacements où il recherche les fichiers de bibliothèque de liens dynamiques (DLL), ce qui permet à un attaquant local authentifié de placer un fichier malveillant et d'exécuter du code avec les mêmes privilèges que l'application.
Contexte des attaques liées à la campagne Romulus
Siemens a lié ces attaques à une opération connue sous le nom de « Romulus », une plateforme multiplateforme pour les attaques « ClickFix » qui repose sur des messages trompeurs, tels que de faux tests de vérification, pour inciter les utilisateurs à copier et coller des commandes malveillantes sur leurs appareils personnels. Des recherches publiées par des sociétés de sécurité telles que Forescout et Huntress ont indiqué que cette plateforme a été déployée sur plusieurs serveurs utilisés pour distribuer des paquets malveillants reposant sur le chargement latéral de fichiers DLL dans des applications signées numériquement par diverses entités.
Siemens a confirmé que ses logiciels n'ont pas été altérés et que le paquet malveillant n'a pas été distribué via ses canaux de distribution officiels, soulignant qu'aucun système ou produit lui appartenant n'a été compromis. L'entreprise a publié la version 4.0.9.8 pour corriger la vulnérabilité, laquelle parvient automatiquement aux utilisateurs lors du prochain lancement de l'application.
Qu'est-ce qui change concrètement pour les utilisateurs et les défenseurs ?
- Mise à jour automatique : les utilisateurs ayant l'application installée reçoivent automatiquement le correctif de sécurité lors de l'ouverture du programme.
- Changement de stratégie de défense : étant donné que les fichiers Siemens utilisés dans les attaques sont originaux et correctement signés, l'entreprise recommande de se concentrer sur les comportements suspects et les dossiers de logiciels malveillants plutôt que de se fier exclusivement aux hachages de fichiers (File Hashes).
- Collaboration en matière de sécurité : Siemens partage les indicateurs de compromission (IoCs) avec les autorités compétentes et les fournisseurs de systèmes de détection et de réponse pour tiers (EDR).