Siemens, geniş kapsamlı bir kötü amaçlı yazılım kampanyasının parçası olarak «Siemens Software Center» uygulamasındaki bir güvenlik açığının kötü niyetli aktörler tarafından kullanıldığını duyurdu. Söz konusu uygulama; müşterilerin satın aldığı yazılımların indirilmesi, kurulması, etkinleştirilmesi ve güncellenmesi süreçlerini yönetmenin yanı sıra ücretsiz deneme sürelerini başlatmak için de kullanılıyor.
CVE-2026-110936 tanımlayıcısına sahip olan ve detayları şirketin yayınladığı güvenlik uyarısında paylaşılan bu açık, CVSS v4 ölçeğine göre 8,4 şiddet puanı aldı. Sorun, programın dinamik bağlantı kitaplığı (DLL) dosyalarını aradığı konumları düzgün bir şekilde kısıtlamamasından kaynaklanıyor; bu da kimliği doğrulanmış yerel bir saldırganın kötü niyetli bir dosya yerleştirmesine ve uygulamanın kendi yetkileriyle kod çalıştırmasına olanak tanıyor.
Romulus kampanyasıyla bağlantılı saldırıların bağlamı
Siemens, bu saldırıları «Romulus» olarak bilinen bir operasyonla ilişkilendirdi. Romulus, kullanıcıları cihazlarına kötü niyetli komutları kopyalayıp yapıştırmaya teşvik etmek için sahte doğrulama testleri gibi aldatıcı mesajlara dayanan «ClickFix» saldırıları için kullanılan çok platformlu bir platformdur. Forescout ve Huntress gibi güvenlik şirketleri tarafından yayınlanan araştırmalar, bu platformun farklı kuruluşlara ait dijital imzalı uygulamalarda DLL yan yüklemesine (DLL side-loading) dayanan kötü niyetli paketleri dağıtmak için kullanılan birden fazla sunucuda konuşlandırıldığını belirtti.
Siemens, yazılımlarının manipüle edilmediğini ve kötü niyetli paketin kendi resmi dağıtım kanalları üzerinden yayılmadığını vurgulayarak, herhangi bir sisteminin veya ürününün ihlal edilmediğini belirtti. Şirket, açığı gidermek için 4.0.9.8 sürümünü yayınladı; bu sürüm, uygulama bir sonraki kez çalıştırıldığında kullanıcılara otomatik olarak ulaşacaktır.
Kullanıcılar ve savunmacılar için pratikte neler değişiyor?
- Otomatik güncelleme: Uygulama yüklü olan kullanıcılar, programı açtıklarında güvenlik yamasına otomatik olarak sahip olurlar.
- Savunma stratejisi değişikliği: Saldırılarda kullanılan Siemens dosyaları orijinal ve düzgün bir şekilde imzalanmış olduğundan, şirket yalnızca dosya özetlerine (File Hashes) güvenmek yerine şüpheli davranışlara ve kötü amaçlı yazılım klasörlerine odaklanılmasını önermektedir.
- Güvenlik iş birliği: Siemens, uzlaşma göstergelerini (IoCs) yetkili makamlarla ve üçüncü taraf algılama ve müdahale (EDR) sistemi sağlayıcılarıyla paylaşmaktadır.