Nuove informazioni emergono sull'attacco che ha colpito Siemens Software Center, rivelando collegamenti con campagne di phishing avanzate e un impatto potenziale sul settore sanitario, già sotto pressione per la conformità e la sicurezza dei dati.
Siemens ha recentemente affrontato una significativa falla di sicurezza nel suo Siemens Software Center, una vulnerabilità di tipo DLL Sideloading che è stata attivamente sfruttata da gruppi di cybercriminali. La falla, identificata come CVE-2026-110936 con un punteggio di gravità CVSS v4 di 8.4, permetteva agli attaccanti di eseguire codice malevolo con gli stessi privilegi del servizio compromesso.
La vulnerabilità risiede nella modalità con cui l'applicazione Siemens Software Center caricava le librerie dinamiche (DLL). In particolare, l'applicazione cercava file DLL in percorsi non adeguatamente controllati. Questo comportamento consentiva a un attaccante locale autenticato di inserire una DLL appositamente creata in una directory monitorata dall'applicazione, portando all'esecuzione di codice arbitrario. Siemens ha specificato che la versione 3.5.8.7 del software, all'epoca l'ultima disponibile, caricava file di supporto dalla propria cartella senza effettuare controlli di integrità. Questo ha reso il Siemens Software Center un bersaglio appetibile, poiché è un software firmato digitalmente e considerato attendibile dagli utenti.
Gli attori malevoli hanno sfruttato questa debolezza inserendo una DLL malevola denominata "archive.dll" accanto a una copia legittima e firmata del Siemens Software Center. L'esecuzione di questa copia legittima innescava il caricamento della DLL malevola. Le indagini hanno rivelato che gli attaccanti utilizzavano il processo msiexec.exe per lanciare un installer MSI chiamato "AllMyBasic.msi". Questo installer, a sua volta, eseguiva "SiemensSoftwareCenter.exe", innescando così la catena di attacco che portava all'esecuzione del codice malevolo.
Questa tattica è stata associata alla piattaforma di distribuzione ClickFix, precedentemente analizzata da Forescout. ClickFix è nota per distribuire malware come Legion Loader proprio attraverso tecniche di DLL Sideloading. Ulteriori sviluppi nelle indagini hanno evidenziato l'uso di ChatGPT Custom GPTs malevoli in alcune campagne. Questi GPTs venivano impiegati per indirizzare le vittime verso URL contraffatti, fungendo da esche di tipo ClickFix. Una volta che la vittima veniva indotta a scaricare ed eseguire l'esca, veniva eseguito codice PowerShell che installava un pacchetto MSI. Quest'ultimo sfruttava la vulnerabilità DLL Sideloading per installare un Remote Access Trojan (RAT), consentendo agli attaccanti di prendere il controllo del sistema compromesso.
Le nuove informazioni sollevano preoccupazioni significative riguardo al potenziale impatto di tali attacchi sul settore sanitario. La fonte [NUOVA FONTE 1] sottolinea come la conformità e la cybersecurity siano caratteristiche fondamentali per i software in questo ambito, dato che l'industria sanitaria registra da 13 anni consecutivi il costo medio per violazione di dati più elevato, attestatosi a 6,64 milioni di dollari. Inoltre, gli attacchi abilitati dall'IA hanno aumentato questo costo di circa 1 milione di dollari per incidente.
L'attacco ransomware del 2024 a Change Healthcare, che ha compromesso i dati di circa 192,7 milioni di persone, è citato come la più grande violazione di dati nella storia del settore sanitario, originato da un singolo portale privo di autenticazione a più fattori. Questo contesto rende vulnerabilità come quella del Siemens Software Center particolarmente allarmanti, poiché potrebbero essere sfruttate per compromettere sistemi che gestiscono dati sanitari sensibili.
La fonte evidenzia la complessità del panorama normativo per il software sanitario, che include leggi come HIPAA (Privacy and Security Rules, Breach Notification Rule e HITECH Act) negli Stati Uniti, la FTC Health Breach Notification Rule, i requisiti di cybersecurity della FDA per i dispositivi medici, leggi statali sulla privacy sanitaria e regolamenti internazionali come GDPR e UK GDPR. L'imminente aggiornamento della HIPAA Security Rule, previsto per luglio 2027, richiederà l'adozione di autenticazione a più fattori (MFA), crittografia, inventari degli asset e audit annuali.
La guida fornita nella nuova fonte suggerisce un approccio strutturato alla costruzione di software sicuro e conforme, che include la mappatura dei dati e dell'ambito normativo, l'esecuzione di analisi dei rischi, la progettazione per la privacy, la costruzione di architetture sicure con crittografia (AES-256 per i dati a riposo e TLS 1.2+ per i dati in transito), il controllo degli accessi tramite MFA e il principio del minimo privilegio, e la messa in sicurezza del ciclo di vita dello sviluppo.
Siemens ha rilasciato una patch per risolvere la vulnerabilità, aggiornando il Siemens Software Center alla versione 4.0.9.8 o successive. Si raccomanda vivamente agli utenti di aggiornare il software il prima possibile per mitigare il rischio. Oltre all'aggiornamento, le organizzazioni sono state avvisate di bloccare gli indirizzi IP e i domini associati all'attività malevola, tra cui: 96.62.218[.]59 (hosting payload e C2), wizardexpensive[.]com (hosting payload e C2) e 2.27.248[.]127 (canale di distribuzione di AllMyBasic.msi).
È inoltre consigliabile monitorare i sistemi alla ricerca di processi "SiemensSoftwareCenter.exe" eseguiti dalla directory "AppData\Local\Programs" e avviati da "msiexec.exe", poiché questi potrebbero indicare un tentativo di sfruttamento della vulnerabilità. La scoperta di questa falla, unita alle nuove informazioni sul suo sfruttamento e al contesto di crescente rischio per il settore sanitario, evidenzia la continua minaccia rappresentata dalle tecniche di DLL Sideloading e la necessità di vigilanza costante da parte degli sviluppatori e degli utenti per proteggere i propri sistemi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
