A Siemens anunciou que agentes maliciosos exploraram uma vulnerabilidade no aplicativo Siemens Software Center como parte de uma ampla campanha de software malicioso. O referido aplicativo é utilizado para gerenciar os processos de download, instalação, ativação e atualização de softwares adquiridos pelos clientes, além de iniciar períodos de teste gratuitos.
A vulnerabilidade possui o identificador CVE-2026-110936 e seus detalhes foram publicados em um aviso de segurança emitido pela empresa, recebendo uma pontuação de gravidade de 8.4 na escala CVSS v4. O problema reside no fato de o programa não restringir adequadamente os locais onde busca arquivos de biblioteca de vínculo dinâmico (DLL), o que permite que um atacante local autenticado insira um arquivo malicioso e execute códigos com os mesmos privilégios do aplicativo.
Contexto dos ataques ligados à campanha Romulus
A Siemens vinculou esses ataques a uma operação conhecida como Romulus, que é uma plataforma multiplataforma para ataques de ClickFix que dependem de mensagens enganosas, como testes de verificação falsos, para induzir os usuários a copiar e colar comandos maliciosos em seus dispositivos pessoais. Pesquisas publicadas por empresas de segurança como Forescout e Huntress indicaram que essa plataforma foi implantada em vários servidores usados para distribuir pacotes maliciosos que dependem do carregamento lateral (side-loading) de arquivos DLL em aplicativos assinados digitalmente de diversas entidades.
A Siemens confirmou que seus softwares não foram adulterados e que o pacote malicioso não foi distribuído por meio de seus canais oficiais de distribuição, ressaltando que nenhum sistema ou produto de sua responsabilidade foi comprometido. A empresa lançou a versão 4.0.9.8 para corrigir a vulnerabilidade, a qual chega automaticamente aos usuários na próxima vez que o aplicativo for iniciado.
O que muda na prática para usuários e defensores?
- Atualização automática: Os usuários que possuem o aplicativo instalado recebem a correção de segurança automaticamente ao abrir o programa.
- Mudança na estratégia de defesa: Como os arquivos da Siemens usados nos ataques são originais e assinados corretamente, a empresa recomenda focar em comportamentos suspeitos e pastas de software malicioso em vez de confiar exclusivamente em hashes de arquivos.
- Colaboração de segurança: A Siemens está compartilhando indicadores de comprometimento (IoCs) com as autoridades competentes e provedores de sistemas de detecção e resposta de terceiros (EDR).