지멘스는 광범위한 악성 소프트웨어 캠페인의 일환으로 'Siemens Software Center' 애플리케이션의 취약점이 악의적인 주체들에 의해 악용되었다고 발표했습니다. 해당 애플리케이션은 고객이 구매한 소프트웨어의 다운로드, 설치, 활성화, 업데이트 관리 및 무료 체험 기간 시작을 위해 사용됩니다.
이 취약점은 CVE-2026-110936 식별자를 가지며, 지멘스가 발행한 보안 권고문을 통해 세부 사항이 공개되었습니다. CVSS v4 기준으로 8.4점의 심각도 점수를 받았습니다. 이 문제는 프로그램이 동적 연결 라이브러리(DLL) 파일을 검색하는 위치를 제대로 제한하지 않아 발생하며, 인증된 로컬 공격자가 악성 파일을 심고 애플리케이션과 동일한 권한으로 코드를 실행할 수 있게 합니다.
Romulus 캠페인과 관련된 공격의 맥락
지멘스는 이러한 공격을 'Romulus'라고 알려진 운영과 연결했습니다. 이는 가짜 검증 테스트와 같은 기만적인 메시지를 사용하여 사용자가 자신의 개인 기기에 악성 명령어를 복사 및 붙여넣기 하도록 유도하는 'ClickFix' 공격을 위한 다중 플랫폼 플랫폼입니다. Forescout 및 Huntress와 같은 보안 기업의 연구에 따르면, 이 플랫폼은 여러 서버에 배포되어 다양한 업체의 디지털 서명된 애플리케이션에서 DLL 사이드로딩(Side-loading)을 기반으로 하는 악성 패키지를 유포하는 데 사용되었습니다.
지멘스는 자사의 소프트웨어가 변조되지 않았으며, 악성 패키지가 공식 배포 채널을 통해 유포된 것이 아니라고 강조했습니다. 또한 자사의 시스템이나 제품이 침해된 사례는 없다고 밝혔습니다. 지멘스는 이 취약점을 해결하기 위해 버전 4.0.9.8을 출시했으며, 사용자가 애플리케이션을 다음에 실행할 때 자동으로 업데이트가 적용됩니다.
사용자와 방어자에게 실질적으로 변화하는 점
- 자동 업데이트: 애플리케이션이 설치된 사용자는 프로그램을 열 때 자동으로 보안 패치를 받게 됩니다.
- 방어 전략 변경: 공격에 사용된 지멘스 파일은 정품이며 정상적으로 서명되어 있으므로, 지멘스는 파일 해시(File Hashes)에만 의존하기보다는 의심스러운 행동과 악성 소프트웨어 폴더에 집중할 것을 권장합니다.
- 보안 협력: 지멘스는 침해 지표(IoCs)를 관련 당국 및 타사 탐지 및 대응(EDR) 시스템 제공업체와 공유하고 있습니다.