Wprowadzenie do problemu / definicja
Siemens potwierdził aktywne wykorzystywanie podatności CVE-2026-110936 w aplikacji Siemens Software Center. Problem dotyczy techniki DLL side-loading, wynikającej z niekontrolowanego przeszukiwania ścieżek ładowania bibliotek, co może prowadzić do uruchomienia złośliwego kodu przy użyciu legalnie podpisanego pliku wykonywalnego.
W praktyce oznacza to, iż napastnik nie musi modyfikować oryginalnego programu. Wystarczy dostarczyć autentyczny plik SiemensSoftwareCenter.exe wraz ze złośliwymi bibliotekami DLL w odpowiednio przygotowanym katalogu, aby system uruchomił niepożądany kod w kontekście zaufanej aplikacji.
W skrócie
- Podatność dotyczy wersji Siemens Software Center starszych niż 4.0.9.8.
- Luka została oznaczona jako CVE-2026-110936 i wiąże się z błędem typu uncontrolled search path element.
- Ataki wykorzystują prawdziwy, podpisany cyfrowo plik aplikacji Siemens oraz złośliwe biblioteki DLL.
- Kampania została powiązana z operacją Romulus i socjotechniką ClickFix.
- Siemens podkreślił, iż jego oficjalne kanały dystrybucji i aktualizacji nie zostały naruszone.
Kontekst / historia
Podatność została opublikowana przez Siemens 15 października 2026 roku i otrzymała ocenę CVSS v4 na poziomie 8.4. Producent poinformował następnie, iż problem został usunięty w wersji 4.0.9.8, a kilka dni później potwierdził aktywne próby wykorzystania luki przeciwko użytkownikom końcowym.
Incydent wpisuje się w coraz częściej obserwowany trend nadużywania legalnie podpisanych aplikacji do obchodzenia mechanizmów zaufania w systemach Windows. W tego typu operacjach napastnicy nie zmieniają samego pliku EXE, ale dostarczają go w pakiecie z dodatkowymi bibliotekami, licząc na to, iż zarówno użytkownik, jak i część narzędzi ochronnych uzna zestaw za wiarygodny.
W tym przypadku sposób działania oraz infrastruktura kampanii wskazują na zbieżność z operacją Romulus, znaną z wykorzystywania scenariuszy ClickFix do dostarczania różnych ładunków malware. Mechanizm opiera się na przekonaniu ofiary do samodzielnego wykonania pozornie nieszkodliwych instrukcji, które w rzeczywistości inicjują łańcuch infekcji.
Analiza techniczna
Źródłem problemu jest podatność klasyfikowana jako CWE-427, czyli uncontrolled search path element. W podatnych wersjach Siemens Software Center aplikacja nie ograniczała w wystarczający sposób lokalizacji, z których ładowane były biblioteki DLL. To umożliwiało uruchomienie kodu dostarczonego przez napastnika, jeżeli złośliwe pliki znalazły się w katalogu przeszukiwanym podczas startu programu.
W opisanych atakach wykorzystywano autentyczny, poprawnie podpisany plik SiemensSoftwareCenter.exe. Sam plik wykonywalny nie był modyfikowany, co znacząco utrudniało wykrywanie oparte wyłącznie na skrótach kryptograficznych lub reputacji binariów. Złośliwość była ukryta w bibliotekach DLL dostarczanych obok legalnego programu.
Siemens wskazał, iż jednym z nośników infekcji był pakiet MSI zawierający prawidłowy program oraz złośliwe biblioteki. Producent opublikował również oznaki kompromitacji, takie jak uruchamianie aplikacji z katalogów użytkownika, obecność folderu „SM Software Provisioning Service” w profilu lokalnym, plików „activate.bak” i „statinfosta.DB” obok programu, a także artefaktów w katalogu AppData\Local, w tym folderu „FTSuite” z plikiem „ftc.uml”.
Istotnym elementem kampanii pozostaje warstwa socjotechniczna. ClickFix zwykle wykorzystuje fałszywe komunikaty o błędach, testach CAPTCHA lub konieczności wykonania rzekomej naprawy systemu. Ofiara jest nakłaniana do skopiowania i uruchomienia polecenia w oknie Uruchom, PowerShell lub terminalu, co prowadzi do pobrania i uruchomienia kolejnych etapów infekcji.
Konsekwencje / ryzyko
Najpoważniejsze ryzyko wynika z faktu, iż atak wykorzystuje legalny, podpisany komponent. To utrudnia zarówno ocenę zagrożenia przez użytkownika, jak i wykrycie incydentu przez część rozwiązań ochronnych opartych na reputacji lub zaufaniu do podpisu cyfrowego.
Dla zespołów SOC i IR problem nie ogranicza się do lokalnej podatności w aplikacji. W praktyce jest to część pełnego łańcucha kompromitacji, w którym legalny program pełni funkcję nośnika dla złośliwych bibliotek. W środowiskach firmowych może to prowadzić do obejścia polityk bezpieczeństwa, utrudnionego wykrywania, fałszywie negatywnych wyników analiz oraz pobrania kolejnych ładunków, takich jak loadery, trojany czy narzędzia zdalnego dostępu.
Szczególnie zagrożone są organizacje, w których użytkownicy mogą samodzielnie uruchamiać pobrane instalatory, wykonywać polecenia sugerowane przez strony internetowe lub korzystać z komunikatorów bez odpowiednich ograniczeń operacyjnych.
Rekomendacje
Podstawowym działaniem naprawczym jest aktualizacja Siemens Software Center do wersji 4.0.9.8 lub nowszej. Choć producent wskazał, iż poprawka powinna zostać zastosowana automatycznie przy następnym uruchomieniu aplikacji, organizacje powinny centralnie zweryfikować rzeczywisty stan wdrożenia.
Z perspektywy obrony warto wdrożyć detekcję behawioralną i monitorować nie tylko sam plik wykonywalny, ale cały kontekst jego uruchomienia. Szczególną uwagę należy zwrócić na:
- uruchamianie SiemensSoftwareCenter.exe z nietypowych lokalizacji, zwłaszcza z katalogów użytkownika,
- procesy potomne inicjowane przez msiexec,
- obecność nieoczekiwanych bibliotek DLL obok legalnych binariów,
- wpisy autostartu i zadania harmonogramu tworzone bez uzasadnienia biznesowego,
- połączenia do infrastruktury sieciowej powiązanej z kampanią.
Operacyjnie zalecane są również dodatkowe działania ochronne:
- blokowanie znanych wskaźników sieciowych na firewallach, proxy i resolverach DNS,
- przeszukanie logów pod kątem wcześniejszych połączeń do infrastruktury kampanii,
- izolacja stacji roboczych wykazujących artefakty kompromitacji,
- usunięcie mechanizmów utrwalania po wcześniejszym zatrzymaniu procesu,
- reset poświadczeń użytkowników i kont używanych na podejrzanych systemach,
- ograniczenie możliwości manualnego uruchamiania poleceń przez użytkowników,
- szkolenia podnoszące świadomość zagrożeń związanych z techniką ClickFix.
Najważniejszy wniosek dla administratorów jest prosty: podpis cyfrowy legalnej aplikacji nie może być traktowany jako samodzielny dowód bezpieczeństwa. Konieczna jest analiza pełnego kontekstu uruchomienia procesu, katalogu roboczego, towarzyszących bibliotek oraz zachowania systemu po starcie aplikacji.
Podsumowanie
Incydent związany z CVE-2026-110936 pokazuje, iż połączenie błędów w ładowaniu bibliotek DLL, socjotechniki oraz legalnie podpisanego systemu pozostaje bardzo skuteczne. Napastnicy nie musieli naruszać infrastruktury producenta, aby zwiększyć wiarygodność pakietu malware — wystarczyło wykorzystanie autentycznego pliku wykonywalnego i dostarczenie go wraz ze złośliwymi bibliotekami.
Dla obrońców to kolejny sygnał, iż nowoczesne kampanie wymagają wielowarstwowego podejścia: szybkiego wdrażania poprawek, detekcji behawioralnej, kontroli źródeł pobierania systemu oraz ograniczonego zaufania do samych podpisów cyfrowych. W tym przypadku priorytetem powinny być aktualizacja, hunting pod kątem lokalnych artefaktów oraz monitorowanie aktywności związanej z ClickFix.
Źródła
- SecurityWeek — Siemens Software Center Vulnerability Exploited in ClickFix Malware Attacks — https://www.securityweek.com/siemens-software-center-vulnerability-exploited-in-clickfix-malware-attacks/
- Siemens ProductCERT — SSA-580366: DLL Sideloading Vulnerability in Siemens Software Center — https://productcert.siemens.com/productcert/html/ssa-580366.html
- Siemens ProductCERT — Active Exploitation of CVE-2026-110936 in Siemens Software Center — https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/
- Forescout Vedere Labs — ROMULUS: Analysis of a New Multi-Payload ClickFix Delivery Platform — https://www.forescout.com/blog/romulus-analysis-of-a-new-multi-payload-clickfix-delivery-platform/