Компания Siemens объявила об использовании злоумышленниками уязвимости в приложении Siemens Software Center в рамках масштабной кампании по распространению вредоносного ПО. Упомянутое приложение используется для управления процессами загрузки, установки, активации и обновления программного обеспечения, приобретаемого клиентами, а также для запуска бесплатных пробных периодов.
Уязвимость имеет идентификатор CVE-2026-110936, подробности о ней были опубликованы в предупреждении по безопасности, выпущенном компанией; уязвимость получила оценку критичности 8.4 по шкале CVSS v4. Проблема заключается в том, что программа не ограничивает должным образом места, в которых она ищет файлы динамических библиотек (DLL), что позволяет локальному аутентифицированному злоумышленнику внедрить вредоносный файл и выполнить код с правами самого приложения.
Контекст атак, связанных с кампанией Romulus
Siemens связала эти атаки с операцией, известной как Romulus — кроссплатформенной платформой для атак типа ClickFix, которые полагаются на обманные сообщения, такие как фальшивые проверки верификации, чтобы побудить пользователей копировать и вставлять вредоносные команды на свои персональные устройства. Исследования, опубликованные такими компаниями в сфере безопасности, как Forescout и Huntress, показали, что эта платформа была развернута на нескольких серверах, которые использовались для распространения вредоносных пакетов, основанных на боковой загрузке DLL-файлов в приложениях, подписанных цифровой подписью различных поставщиков.
Siemens подтвердила, что ее программное обеспечение не подвергалось манипуляциям, и вредоносный пакет не распространялся через ее официальные каналы дистрибуции, отметив, что ни одна из ее систем или продуктов не была скомпрометирована. Компания выпустила версию 4.0.9.8 для устранения уязвимости, которая автоматически доставляется пользователям при следующем запуске приложения.
Что практически меняется для пользователей и специалистов по защите?
- Автоматическое обновление: пользователи, у которых установлено приложение, автоматически получают исправление безопасности при открытии программы.
- Изменение стратегии защиты: поскольку файлы Siemens, используемые в атаках, являются подлинными и корректно подписанными, компания рекомендует сосредоточиться на подозрительном поведении и папках с вредоносным ПО, а не полагаться исключительно на хеши файлов (File Hashes).
- Сотрудничество в сфере безопасности: Siemens делится индикаторами компрометации (IoCs) с соответствующими органами и поставщиками сторонних систем обнаружения и реагирования (EDR).