A Siemens megerősítette, hogy támadók aktívan kihasználják a Siemens Software Center CVE-2026-110936 azonosítójú sérülékenységét. A támadás során a program eredeti, érvényes digitális aláírással rendelkező példányát használták fel saját kártékony DLL-fájljaik betöltésére. A vállalat a hibát a 4.0.9.8-as verzióban javította. A meglévő telepítések az alkalmazás következő indításakor automatikusan frissülnek.

A Siemens szerint a támadók nem módosították a Siemens Software Center futtatható állományát. Ehelyett az eredeti program mellé helyezték a saját fájljaikat, majd kihasználták, hogy a támadás idején legfrissebb, 3.5.8.7-es verzió ellenőrzés nélkül töltött be segédfájlokat a saját könyvtárából. A kártékony kód a támadók által mellékelt DLL-ekben volt, és az alkalmazás indításakor töltődött be.

A módszer neve DLL side-loading. Ebben az esetben egy megbízhatónak tekintett, digitálisan aláírt program szolgált a támadói kód betöltésére. Ez fontos különbség a módosított vagy hamisított programokkal szemben, a Siemens futtatható állományának eredetisége önmagában nem zárja ki, hogy azt rosszindulatú fájlokkal együtt használják. A vállalat ezért kifejezetten azt javasolja, hogy a védelmi ellenőrzések a könyvtárakra és a viselkedésre összpontosítsanak, ne kizárólag a Siemens-fájl ujjlenyomatára.

A vállalat tudomása szerint sem Siemens rendszert, sem terméket, sem frissítési csatornát nem törtek fel. Az aláírt alkalmazást a támadók a saját kártékony állományaikkal együtt, a hivatalos terjesztési csatornákon kívül terjesztették. A Siemens végponti észlelési és reagálási megoldásokat fejlesztő, vagyis EDR-szállítókkal, valamint hatóságokkal is megosztott információkat az észlelés és a védekezés támogatására.

A gyártó a történteket a több platformot érintő Romulus ClickFix kampányhoz sorolja. A tájékoztató külön figyelmeztet arra, hogy a felhasználók ne másoljanak weboldalakról származó parancsokat a Windows Futtatás ablakába vagy a PowerShellbe. Egy valódi „nem vagyok robot” ellenőrzés nem kér ilyen műveletet. A közlemény ugyanakkor nem részletezi a konkrét csalioldalakat vagy a támadás teljes végrehajtási láncát.

A megfigyelt terjesztési infrastruktúra egyik eleme az AllMyBasic.msi nevű kártékony csomagot szolgálta ki. Ez a terjesztési cím a közlemény megjelenésekor már nem volt aktív, de a Siemens hangsúlyozza, az onnan korábban letöltő számítógépek ettől még fertőzöttek maradhattak.

A Siemens az alábbi, vizsgálatra okot adó jeleket emelte ki:

• A Siemens Software Center megjelenik az automatikusan induló alkalmazások vagy az ütemezett feladatok között egy olyan számítógépen, amelyre korábban nem telepítették.
• Az AppData\Local\Programs alatt létrejön egy SM Software Provisioning Service nevű könyvtár.
• A SiemensSoftwareCenter.exe mellett activate.bak vagy statinfosta.DB nevű állomány található.
• Az AppData\Local alatt megjelenik egy FTSuite könyvtár, benne egy ftc.uml fájllal.
• A gép hálózati kapcsolatot létesít a 96.62.218[.]59 IP-címmel.
• A védelmi csapatoknak különösen érdemes keresniük azokat az eseteket, amikor a SiemensSoftwareCenter.exe az AppData\Local\Programs alól fut, és az indítófolyamata az msiexec. A Siemens ezt a folyamat- és elérésiút-kombinációt külön ellenőrzési szempontként nevezi meg.

Közzétettek kompromittálódási indikátorokat. Az alábbi állapotok a közlemény 2026. október 19-i megjelenésére vonatkoznak, nem az infrastruktúra jelenlegi elérhetőségére.

• 96.62.218[.]59 – Kártékony tartalom kiszolgálása, vezérlési kommunikáció
• wizardexpensive[.]com – Kártékony tartalom kiszolgálása, vezérlési kommunikáció
• 2.27.248[.]127 – Az AllMyBasic.msi kártékony csomag terjesztése

A közlemény két kártékony fájl SHA-256-kivonatát is megadta:

• AllMyBasic.msi – f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a
• archive.dll – 3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491

A Siemens október 15-én adta ki az SSA-580366 jelű biztonsági tájékoztatót, a sérülékenységet pedig a Siemens Software Center 4.0.9.8-as verziójában javította. A vállalat szerint a már telepített alkalmazás indításkor automatikusan telepíti a frissítést. A szoftvert kizárólag hivatalos Siemens forrásból javasolt beszerezni.

A rendszergazdáknak a Siemens a következő intézkedéseket javasolja:

• Frissítsék a Siemens Software Centert legalább a 4.0.9.8-as verzióra.
• Tiltsák a felsorolt IP címeket és domaint a megfelelő hálózatvédelmi eszközökön.
• Keressenek a naplókban korábbi kapcsolatokat mindhárom indikátorhoz, beleértve a már inaktív terjesztési címet is.
• Vizsgálják meg a nem alapértelmezett telepítési könyvtárakban található Siemens Software Center példányokat és a mellettük lévő váratlan DLL-eket.
• Kompromittálódásra utaló jelek esetén izolálják a gépet, először állítsák le az érintett folyamatot, majd távolítsák el az automatikus indítási bejegyzést és az ütemezett feladatot, végezzenek jelszócserét, és kövessék az incidenskezelési eljárásukat.

(forrás)