Siemensは、広範なマルウェアキャンペーンの一環として、悪意のある主体が「Siemens Software Center」アプリケーションの脆弱性を悪用していることを発表しました。このアプリケーションは、顧客が購入したソフトウェアのダウンロード、インストール、アクティベーション、アップデートの管理、および無料試用期間の開始に使用されます。
この脆弱性にはCVE-2026-110936という識別子が割り当てられており、同社が発行したセキュリティ警告で詳細が公開されました。CVSS v4スコアは8.4と評価されています。問題は、プログラムがダイナミックリンクライブラリ（DLL）ファイルを検索する場所を適切に制限していないことにあり、認証されたローカルの攻撃者が悪意のあるファイルを配置し、アプリケーションと同じ権限でコードを実行することを可能にします。
Romulusキャンペーンに関連する攻撃の背景
Siemensは、これらの攻撃を「Romulus」と呼ばれるオペレーションに関連付けました。これは「ClickFix」攻撃のためのクロスプラットフォームプラットフォームであり、偽の検証テストなどの欺瞞的なメッセージを使用して、ユーザーに悪意のあるコマンドを自身のデバイスにコピー＆ペーストさせるものです。ForescoutやHuntressなどのセキュリティ企業による調査によると、このプラットフォームは、さまざまなベンダーのデジタル署名済みアプリケーションにおいて、DLLサイドローディングを利用した悪意のあるパッケージを配布するために使用される複数のサーバーに展開されていました。
Siemensは、自社のソフトウェアが改ざんされたわけではなく、悪意のあるパッケージが同社の公式配布チャネルを通じて配布されたものではないことを強調し、同社のシステムや製品が侵害された事実はないと指摘しました。同社は脆弱性に対処するためバージョン4.0.9.8をリリースしており、これはアプリケーションを次回起動した際にユーザーへ自動的に適用されます。
ユーザーと防御側にとっての実質的な変更点
- 自動アップデート：アプリケーションがインストールされているユーザーは、プログラムを開くと自動的に安全な修正プログラムが適用されます。
- 防御戦略の変更：攻撃に使用されるSiemensのファイルは正規のものであり適切に署名されているため、同社はファイルハッシュのみに依存するのではなく、不審な挙動やマルウェアのフォルダに焦点を当てることを推奨しています。
- セキュリティ協力：Siemensは、侵害指標（IoCs）を関係当局およびサードパーティの検知・対応システム（EDR）プロバイダーと共有しています。