Siemens Software Center стал лазейкой для заражения Windows по схеме ClickFix

Компания Siemens подтвердила, что уязвимость CVE-2026-110936 в её программе Software Center уже использовалась в атаках. Эта утилита служит для скачивания, установки, активации и обновления купленных приложений, а также для запуска бесплатных пробных версий.

Корень проблемы — недостаточно строгая проверка расположения DLL-файлов. Локальный пользователь, прошедший аутентификацию, мог положить вредоносную библиотеку в одну из подходящих папок и запустить свой код с теми же привилегиями, которыми обладает Software Center. Описание уязвимости Siemens опубликовала 15 октября; она получила 8,4 балла по шкале CVSS 4.0. Уже 17 октября компания сообщила, что в версии 4.0.9.8 брешь закрыта. Уже установленная программа получит обновление автоматически при ближайшем запуске.

В понедельник Siemens отдельно рассказала о реальных атаках. Преступники брали оригинальную копию Siemens Software Center с действующей цифровой подписью и размещали рядом собственные вредоносные DLL. При старте приложение подгружало эти файлы из своего каталога, и злонамеренный код получал возможность выполниться. По заявлению Siemens, сама программа осталась неизменной, а зараженный пакет не распространялся через официальные каналы поставки. «Насколько нам известно, ни одна система, продукт или канал обновлений Siemens не были взломаны», — подчеркнули в компании.

Siemens передаёт данные об угрозе правоохранительным органам и разработчикам EDR-решений — систем обнаружения киберугроз и реагирования на них. В опубликованных материалах содержатся индикаторы компрометации и признаки возможного заражения.

Атаки Siemens связывает с Romulus — универсальной платформой для распространения вредоносного ПО методом ClickFix. В таких кампаниях пользователям демонстрируют фальшивые проверки CAPTCHA или другие правдоподобные инструкции, из-за чего они сами копируют и запускают опасные команды. Ранее специалисты Forescout обнаружили Romulus на нескольких серверах, включая тот, с которого раздавался пакет с поддельными компонентами Siemens. Через платформу доставлялись вредоносная программа LegionLoader и модифицированный установщик: он использовал легитимное приложение Stardock, чтобы загрузить вредоносный код с помощью DLL side-loading. Кто стоит за Romulus, Forescout выяснить не удалось: это может быть закрытый инструмент одной группы, коммерческий сервис для киберпреступников, партнёрская платформа или программа, которую скопировали несколько группировок.

В конце сентября Huntress описала схожую кампанию: злоумышленники заманивали жертв на страницы ClickFix с помощью поддельных пользовательских GPT в ChatGPT, а затем применяли подписанные программы Canon и Stardock для загрузки вредоносного кода, который в итоге устанавливал троян удалённого доступа (RAT). По данным Huntress, зафиксировано не менее 40 связанных инцидентов, и аналогичным образом преступники могут использовать продукты других производителей. Siemens Software Center в прежних отчётах Forescout и Huntress не фигурировал, однако совпадение инфраструктуры и метода атаки позволяет предположить, что приложение вошло в тот же арсенал.

Источник: iXBT