Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Siemens ostrzega przed atakami ClickFix wykorzystującymi podatność w Software Center

Rodzaj
Streszczenie
Data
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
Infosecurity Magazine ()

Siemens potwierdził aktywne wykorzystanie podatności CVE-2026-110936 w Software Center w kampanii ClickFix o nazwie Romulus. Poprawka jest w wersji 4.0.9.8, a istniejące instalacje aktualizują się przy następnym uruchomieniu.

Siemens ostrzegł klientów, że napastnicy aktywnie wykorzystują podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. typu DLL side-loadingDLL side-loading Podatność, w której aplikacja ładuje biblioteki DLL z przeszukiwanego katalogu bez kontroli, więc napastnik może podłożyć tam własny plik. w Siemens Software Center, by rozsyłać złośliwe oprogramowanie. Podatność ma numer CVE-2026-110936 i ocenę 8,4 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.. Siemens przypisał tę aktywność kampanii Romulus, wieloplatformowej kampanii ClickFixClickFix Technika oparta na socjotechnice, w której ofiara jest nakłaniana do uruchomienia na własnym komputerze poleceń podanych przez napastnika.. Romulus to panel hostingowy, który badacze Forescout zidentyfikowali 14 października.

Napastnicy używają prawdziwej, podpisanej kopii aplikacji i kładą obok niej własne pliki DLL. Wersja 3.5.8.7 ładowała pliki pomocnicze ze swojego folderu bez ich sprawdzania. Pliki trafiają do ofiar przez przynętę ClickFix, czyli technikę opartą na socjotechnice, w której ofiara sama uruchamia na swoim komputerze polecenia podane przez napastnika. Jeśli użytkownik je wykona, złośliwy kod działa z uprawnieniami podatnej aplikacji. Siemens przypomina, żeby nigdy nie wklejać poleceń ze strony internetowej do okna Uruchom ani do PowerShella.

Jeśli w Twojej organizacji działa Siemens Software Center, sprawdź wersję: podatne są wszystkie wersje starsze niż 4.0.9.8. Istniejące instalacje aktualizują się automatycznie przy następnym uruchomieniu. Siemens zaleca też pobieranie oprogramowania wyłącznie z oficjalnych źródeł.

Wśród oznak infekcji Siemens wymienia folder SM Software Provisioning Service w AppData\Local\Programs, pliki activate.bak lub statinfosta.DB obok SiemensSoftwareCenter.exe oraz połączenia z adresem 96.62.218[.]59. Zainfekowany komputer należy odizolować, zatrzymać proces, usunąć wpis startowy i zadanie oraz zresetować hasła. Wykrywanie ma opierać się na folderze i podejrzanym zachowaniu, a nie na odcisku pliku Siemensa, bo sam plik jest prawdziwy. Biuletyn INCIBE-CERT z 19 października przy tej podatności wpisuje brak eksploatacji, natomiast Canadian Centre for Cyber Security podaje, że Siemens zgłosił jej wykorzystanie w atakach.

Źródła

Pojęcia w tym tekście (4)
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
DLL side-loading
Podatność, w której aplikacja ładuje biblioteki DLL z przeszukiwanego katalogu bez kontroli, więc napastnik może podłożyć tam własny plik.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
ClickFix
Technika oparta na socjotechnice, w której ofiara jest nakłaniana do uruchomienia na własnym komputerze poleceń podanych przez napastnika.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.