A Siemens megerősítette, hogy támadók aktívan kihasználják a Siemens Software Center CVE-2026-110936 azonosítójú sérülékenységét. A támadás során a program eredeti, érvényes digitális aláírással rendelkező példányát használták fel saját kártékony DLL-fájljaik betöltésére. A vállalat a hibát a 4.0.9.8-as verzióban javította. A meglévő telepítések az alkalmazás következő indításakor automatikusan frissülnek.
A Siemens szerint a támadók nem módosították a Siemens Software Center futtatható állományát. Ehelyett az eredeti program mellé helyezték a saját fájljaikat, majd kihasználták, hogy a támadás idején legfrissebb, 3.5.8.7-es verzió ellenőrzés nélkül töltött be segédfájlokat a saját könyvtárából. A kártékony kód a támadók által mellékelt DLL-ekben volt, és az alkalmazás indításakor töltődött be.
A módszer neve DLL side-loading. Ebben az esetben egy megbízhatónak tekintett, digitálisan aláírt program szolgált a támadói kód betöltésére. Ez fontos különbség a módosított vagy hamisított programokkal szemben, a Siemens futtatható állományának eredetisége önmagában nem zárja ki, hogy azt rosszindulatú fájlokkal együtt használják. A vállalat ezért kifejezetten azt javasolja, hogy a védelmi ellenőrzések a könyvtárakra és a viselkedésre összpontosítsanak, ne kizárólag a Siemens-fájl ujjlenyomatára.
A vállalat tudomása szerint sem Siemens rendszert, sem terméket, sem frissítési csatornát nem törtek fel. Az aláírt alkalmazást a támadók a saját kártékony állományaikkal együtt, a hivatalos terjesztési csatornákon kívül terjesztették. A Siemens végponti észlelési és reagálási megoldásokat fejlesztő, vagyis EDR-szállítókkal, valamint hatóságokkal is megosztott információkat az észlelés és a védekezés támogatására.
A gyártó a történteket a több platformot érintő Romulus ClickFix kampányhoz sorolja. A tájékoztató külön figyelmeztet arra, hogy a felhasználók ne másoljanak weboldalakról származó parancsokat a Windows Futtatás ablakába vagy a PowerShellbe. Egy valódi „nem vagyok robot” ellenőrzés nem kér ilyen műveletet. A közlemény ugyanakkor nem részletezi a konkrét csalioldalakat vagy a támadás teljes végrehajtási láncát.
A megfigyelt terjesztési infrastruktúra egyik eleme az AllMyBasic.msi nevű kártékony csomagot szolgálta ki. Ez a terjesztési cím a közlemény megjelenésekor már nem volt aktív, de a Siemens hangsúlyozza, az onnan korábban letöltő számítógépek ettől még fertőzöttek maradhattak.
A Siemens az alábbi, vizsgálatra okot adó jeleket emelte ki:
- A Siemens Software Center megjelenik az automatikusan induló alkalmazások vagy az ütemezett feladatok között egy olyan számítógépen, amelyre korábban nem telepítették.
- Az AppData\Local\Programs alatt létrejön egy SM Software Provisioning Service nevű könyvtár.
- A SiemensSoftwareCenter.exe mellett activate.bak vagy statinfosta.DB nevű állomány található.
- Az AppData\Local alatt megjelenik egy FTSuite könyvtár, benne egy ftc.uml fájllal.
- A gép hálózati kapcsolatot létesít a 96.62.218[.]59 IP-címmel.
- A védelmi csapatoknak különösen érdemes keresniük azokat az eseteket, amikor a SiemensSoftwareCenter.exe az AppData\Local\Programs alól fut, és az indítófolyamata az msiexec. A Siemens ezt a folyamat- és elérésiút-kombinációt külön ellenőrzési szempontként nevezi meg.
Közzétettek kompromittálódási indikátorokat. Az alábbi állapotok a közlemény 2026. október 19-i megjelenésére vonatkoznak, nem az infrastruktúra jelenlegi elérhetőségére.
- 96.62.218[.]59 – Kártékony tartalom kiszolgálása, vezérlési kommunikáció
- wizardexpensive[.]com – Kártékony tartalom kiszolgálása, vezérlési kommunikáció
- 2.27.248[.]127 – Az AllMyBasic.msi kártékony csomag terjesztése
A közlemény két kártékony fájl SHA-256-kivonatát is megadta:
- AllMyBasic.msi – f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a
- archive.dll – 3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491
A Siemens október 15-én adta ki az SSA-580366 jelű biztonsági tájékoztatót, a sérülékenységet pedig a Siemens Software Center 4.0.9.8-as verziójában javította. A vállalat szerint a már telepített alkalmazás indításkor automatikusan telepíti a frissítést. A szoftvert kizárólag hivatalos Siemens forrásból javasolt beszerezni.
A rendszergazdáknak a Siemens a következő intézkedéseket javasolja:
- Frissítsék a Siemens Software Centert legalább a 4.0.9.8-as verzióra.
- Tiltsák a felsorolt IP címeket és domaint a megfelelő hálózatvédelmi eszközökön.
- Keressenek a naplókban korábbi kapcsolatokat mindhárom indikátorhoz, beleértve a már inaktív terjesztési címet is.
- Vizsgálják meg a nem alapértelmezett telepítési könyvtárakban található Siemens Software Center példányokat és a mellettük lévő váratlan DLL-eket.
- Kompromittálódásra utaló jelek esetén izolálják a gépet, először állítsák le az érintett folyamatot, majd távolítsák el az automatikus indítási bejegyzést és az ütemezett feladatot, végezzenek jelszócserét, és kövessék az incidenskezelési eljárásukat.