Wprowadzenie do problemu / definicja
Siemens Software Center został wykorzystany w incydencie bezpieczeństwa związanym z nadużyciem legalnie podpisanej aplikacji do uruchamiania złośliwego kodu na systemach Windows. Problem dotyczy techniki DLL side-loading, w której zaufany program ładuje podstawione przez atakującego biblioteki z nieprawidłowo kontrolowanej lokalizacji. W efekcie legalny komponent może stać się nośnikiem wykonania malware bez naruszenia oficjalnego kanału dystrybucji producenta.
W skrócie
- Siemens potwierdził aktywne wykorzystanie podatności w Siemens Software Center w rzeczywistych atakach.
- Luka otrzymała oznaczenie CVE-2026-110936 i dotyczy niewłaściwego ograniczenia ścieżek ładowania bibliotek DLL.
- Atakujący łączyli autentyczny, podpisany plik aplikacji z własnymi złośliwymi bibliotekami.
- Producent udostępnił poprawkę w wersji 4.0.9.8.
- Kampania została powiązana z szerszą operacją ClickFix oraz infrastrukturą Romulus.
Kontekst / historia
Siemens Software Center to narzędzie służące do pobierania, instalacji, aktywacji i aktualizacji oprogramowania. Tego typu aplikacje są szczególnie atrakcyjne dla napastników, ponieważ są zaufane, podpisane cyfrowo i często obecne w środowiskach korporacyjnych oraz przemysłowych.
Z ujawnionych informacji wynika, że podatność została opublikowana przez producenta 15 października 2026 roku, a niedługo później wskazano wersję naprawczą. Następnie Siemens potwierdził, że luka była aktywnie wykorzystywana w kampanii malware powiązanej z ClickFix. W tym modelu ataku ofiary są nakłaniane do ręcznego wykonania szkodliwych działań pod pretekstem rozwiązania błędu, przejścia weryfikacji lub potwierdzenia fałszywej CAPTCHA.
W szerszym ujęciu kampanie ClickFix coraz częściej łączą socjotechnikę z technikami omijania zaufania do legalnych aplikacji. Zamiast polegać wyłącznie na klasycznych dropperach, operatorzy wykorzystują renomowane programy do uruchamiania złośliwych bibliotek i modułów.
Analiza techniczna
Źródłem problemu była niepoprawna kontrola lokalizacji, z których Siemens Software Center ładował biblioteki DLL. Jeśli atakujący mógł umieścić spreparowane pliki w odpowiednim katalogu obok legalnego pliku wykonywalnego, aplikacja mogła załadować złośliwe biblioteki zamiast oczekiwanych komponentów pomocniczych.
To klasyczny przykład DLL side-loadingu. Sam plik EXE pozostaje legalny i podpisany cyfrowo, co utrudnia wykrywanie oparte wyłącznie na reputacji pliku, podpisie lub prostym allowlistingu. Z perspektywy obrony jest to szczególnie niebezpieczne, ponieważ uruchamiany proces wygląda wiarygodnie, a złośliwy kod wykonuje się w kontekście zaufanej aplikacji.
W opisywanej kampanii atakujący dystrybuowali pakiet zawierający prawdziwą kopię Siemens Software Center oraz własne biblioteki DLL. Po uruchomieniu programu dochodziło do załadowania plików dostarczonych przez napastnika z lokalnego folderu. Siemens zaznaczył, że oficjalne oprogramowanie producenta nie zostało zmodyfikowane, a kanały dystrybucji nie zostały naruszone. Oznacza to, że nie był to klasyczny incydent supply chain, lecz nadużycie zachowania aplikacji poza infrastrukturą producenta.
Dodatkowo istotne jest powiązanie z operacją Romulus. Badacze opisywali tę infrastrukturę jako platformę dostarczającą różne ładunki malware i wykorzystującą podobne techniki bocznego ładowania z użyciem innych legalnych aplikacji. Taki wzorzec sugeruje modularny model działania, w którym zaufane binaria są wymieniane zależnie od skuteczności wobec zabezpieczeń ofiary.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest możliwość wykonania złośliwego kodu pod przykryciem zaufanego procesu. W zależności od kolejnych etapów infekcji może to prowadzić do instalacji loaderów, trojanów zdalnego dostępu, kradzieży danych uwierzytelniających, utrzymania trwałości w systemie oraz dalszego ruchu bocznego.
Podwyższone ryzyko dotyczy zwłaszcza organizacji, które korzystają z Siemens Software Center na stacjach roboczych administratorów lub inżynierów, opierają wykrywanie głównie na zaufaniu do podpisu cyfrowego albo dopuszczają uruchamianie narzędzi z katalogów użytkownika i folderów tymczasowych. Problem pogłębia ograniczona telemetria EDR dotycząca ładowania bibliotek DLL i anomalii procesowych.
Dodatkowym wyzwaniem jest charakter kampanii ClickFix. Jeśli użytkownik zostaje nakłoniony do samodzielnego uruchomienia poleceń lub pakietów, część tradycyjnych mechanizmów ochronnych może okazać się niewystarczająca. Atak łączy bowiem socjotechnikę z nadużyciem legalnego oprogramowania, przesuwając ciężar z exploita technicznego na interakcję człowieka z pozornie wiarygodnym narzędziem.
Rekomendacje
Organizacje powinny w pierwszej kolejności upewnić się, że używana wersja Siemens Software Center została zaktualizowana do wydania zawierającego poprawkę, czyli 4.0.9.8. Warto również zweryfikować, czy automatyczny mechanizm aktualizacji faktycznie zadziałał na wszystkich endpointach.
- Monitorować nietypowe uruchomienia Siemens Software Center spoza standardowych ścieżek instalacyjnych.
- Analizować zdarzenia ładowania bibliotek DLL z katalogów roboczych, tymczasowych i profili użytkowników.
- Wykrywać wykonywanie legalnych, podpisanych aplikacji wraz z niespodziewanymi plikami pomocniczymi w tym samym folderze.
- Wdrożyć reguły behawioralne zamiast polegać wyłącznie na hashach i podpisach plików.
- Wykorzystać wskaźniki kompromitacji oraz artefakty udostępnione przez producenta i partnerów analitycznych.
Po stronie prewencji warto ograniczyć możliwość uruchamiania binariów z niezatwierdzonych katalogów, stosować kontrolę aplikacyjną uwzględniającą kontekst uruchomienia i ładowane moduły, a także szkolić użytkowników w zakresie technik ClickFix, fałszywych CAPTCHA i pozornych instrukcji naprawczych. Kluczowe pozostają również zasada najmniejszych uprawnień oraz centralne logowanie zdarzeń związanych z tworzeniem procesów, ładowaniem obrazów i wykonywaniem poleceń.
W środowiskach o podwyższonych wymaganiach bezpieczeństwa warto przeprowadzić dodatkowe polowanie na zagrożenia pod kątem podobnych przypadków side-loadingu z użyciem innych legalnych aplikacji dostawców trzecich. Tego typu incydenty często są elementem większego zestawu technik używanych przez operatorów kampanii.
Podsumowanie
Incydent z udziałem Siemens Software Center pokazuje, jak skuteczne staje się nadużywanie legalnych, podpisanych aplikacji do uruchamiania malware. W tym przypadku nie doszło do kompromitacji oficjalnego kanału dystrybucji producenta, lecz do wykorzystania podatności umożliwiającej DLL side-loading w kampanii ClickFix powiązanej z infrastrukturą Romulus. Dla zespołów bezpieczeństwa najważniejsze są szybkie aktualizacje, telemetria behawioralna, kontrola ścieżek uruchamiania oraz konsekwentna edukacja użytkowników. To kolejny sygnał, że sam podpis cyfrowy nie może być uznawany za wystarczający wskaźnik bezpieczeństwa.
Źródła
- SecurityWeek – Siemens Software Center Vulnerability Exploited in ClickFix Malware Attacks
https://www.securityweek.com/siemens-software-center-vulnerability-exploited-in-clickfix-malware-attacks/ - Siemens ProductCERT – SSA-158779 Security Advisory
https://productcert.siemens.com/pdf/ssa-158779.pdf - Siemens ProductCERT – ClickFix abuse of Siemens Software Center to distribute malware
https://productcert.siemens.com/en/blog/2026/10/19/clickfix-abuse-of-siemens-software-center-to-distribute-malware/ - Forescout – Romulus unveiled: inside a sophisticated ClickFix campaign targeting enterprise IT and PLCs
https://www.forescout.com/blog/romulus-unveiled-inside-a-sophisticated-clickfix-campaign-targeting-enterprise-it-and-plcs/ - Huntress – Threat research on ClickFix-style malware delivery campaigns
https://www.huntress.com/blog