Una grave vulnerabilità nel Siemens Software Center, nota come CVE-2026-110936, è attivamente sfruttata da hacker per eseguire codice malevolo. La falla permette il caricamento di DLL dannose tramite applicazioni legittime e firmate digitalmente.
Siemens ha confermato che una vulnerabilità critica nel suo Siemens Software Center, identificata come CVE-2026-110936, è attualmente oggetto di sfruttamento attivo da parte di attori malevoli. Questa falla di sicurezza, classificata come un problema di DLL side-loading, consente agli aggressori di eseguire codice arbitrario sfruttando un'applicazione Siemens legittima e firmata digitalmente.
La vulnerabilità deriva da un percorso di ricerca delle DLL non controllato (CWE-427). In sostanza, un attaccante può posizionare una libreria DLL appositamente creata in una directory che il Siemens Software Center cerca durante l'esecuzione. Quando l'applicazione legittima viene avviata, carica la DLL dannosa invece di quella prevista, permettendo l'esecuzione di codice malevolo con i privilegi dell'applicazione stessa. Siemens ha assegnato punteggi CVSS di 6.7 (versione 3.1) e 8.4 (versione 4.0) a questa problematica, indicando un livello di gravità elevato.
Nella campagna osservata, gli aggressori hanno utilizzato la versione 3.5.8.7 del Siemens Software Center. Hanno distribuito un eseguibile Siemens non modificato insieme a file DLL malevoli, al di fuori dei canali ufficiali. L'eseguibile Siemens manteneva la sua firma digitale valida, ma la funzionalità dannosa era incorporata nelle DLL adiacenti. Questo stratagemma rende difficile l'individuazione basandosi unicamente sull'autenticità dell'eseguibile principale.
L'attività malevola è stata attribuita alla campagna multi-piattaforma denominata Romulus ClickFix. Questa campagna non si limita allo sfruttamento tecnico della vulnerabilità, ma include anche un elemento di ingegneria sociale. Viene sottolineata l'importanza di non copiare e incollare comandi direttamente da siti web in interfacce come Windows Run o PowerShell, poiché questo potrebbe innescare l'esecuzione di codice dannoso.
L'infrastruttura utilizzata dagli attaccanti comprende endpoint per l'hosting dei payload e il Command and Control (C2), tra cui gli indirizzi IP 96.62.218[.]59 e il dominio wizardexpensive[.]com. È stato identificato anche un endpoint di distribuzione precedentemente attivo (2.27.248[.]127) che ospitava un bundle MSI malevolo chiamato AllMyBasic.msi.
Per aiutare le organizzazioni a identificare e mitigare potenziali infezioni, sono stati forniti diversi Indicatori di Compromissione (IoC):
SiemensSoftwareCenter.exe dalla directory AppData\Local\Programs, specialmente se avviato da msiexec.SM Software Provisioning Service sotto AppData\Local\Programs.activate.bak o statinfosta.DB posizionati accanto all'eseguibile Siemens.FTSuite contenente ftc.uml all'interno di AppData\Local.archive.dll è stato identificato come parte dell'attacco.Le strategie di difesa dovrebbero concentrarsi sull'analisi di directory sospette, librerie DLL adiacenti agli eseguibili legittimi, l'albero dei processi, i meccanismi di persistenza e l'attività di rete, piuttosto che fare affidamento esclusivamente sulla verifica della firma digitale dell'eseguibile Siemens.
Siemens ha rilasciato un aggiornamento per risolvere questa vulnerabilità. Le versioni del Siemens Software Center precedenti alla 4.0.9.8 sono interessate. Le installazioni esistenti dovrebbero aggiornarsi automaticamente al successivo avvio dell'applicazione, ma gli amministratori dovrebbero verificare che la versione corretta sia effettivamente installata.
Le organizzazioni sono fortemente incoraggiate a bloccare l'infrastruttura malevola segnalata e a rivedere i log di traffico storici per individuare eventuali connessioni sospette. In caso di rilevamento di segni di compromissione, è fondamentale isolare immediatamente gli endpoint interessati, terminare i processi malevoli, indagare sui meccanismi di persistenza e seguire i protocolli di risposta agli incidenti stabiliti.
Siemens ribadisce l'importanza di scaricare sempre gli installer sostitutivi esclusivamente da fonti ufficiali. Sebbene l'aggiornamento risolva la vulnerabilità, non sostituisce la necessità di un'indagine approfondita sui sistemi che potrebbero già presentare indicatori di compromissione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.