Siemens heeft een DLL-sideloading kwetsbaarheid in Software Center gepatcht die door ClickFix-aanvallers werd misbruikt om een remote access trojan te installeren.
Siemens heeft een ernstige kwetsbaarheid in het Siemens Software Center verholpen die werd misbruikt door aanvallers van het ClickFix-platform om een remote access trojan te installeren. De kwetsbaarheid, geregistreerd als CVE-2026-110936 en met een CVSS v4-score van 8.4, betreft DLL-sideloading waarbij een aanvaller een speciaal vervaardigde DLL kan plaatsen in een map die door de applicatie wordt doorzocht. Hierdoor kan kwaadaardige code worden uitgevoerd met dezelfde rechten als de getroffen service.
Volgens een advies van Siemens laadt de applicatie dynamische linkbibliotheken (DLL's) vanuit een onbeheerde zoekpad, wat een geauthenticeerde lokale aanvaller in staat stelt om een kwaadaardige DLL te plaatsen en zo willekeurige code uit te voeren met de privileges van de applicatie. De kwetsbaarheid is verholpen in versie 4.0.9.8 van het Software Center. Onderzoeker Jose Oregon van Huntress Labs wordt erkend voor het ontdekken en melden van deze kwetsbaarheid.
In een aparte waarschuwing gaf Siemens aan dat aanvallers een legitieme, ondertekende versie van Siemens Software Center misbruikten door een eigen DLL-bestand ('archive.dll') naast het programma te plaatsen, waardoor kwaadaardige code werd uitgevoerd. De keuze voor dit programma als drager komt doordat het ondertekend en vertrouwd is, en omdat versie 3.5.8.7 helperbestanden vanuit de eigen map laadt zonder deze te controleren, aldus Siemens in een aanvullende verklaring.
De aanvallers maken gebruik van 'msiexec.exe' om het bestand 'AllMyBasic.msi' te starten, dat vervolgens 'SiemensSoftwareCenter.exe' uitvoert. Deze activiteiten worden toegeschreven aan het ClickFix-leveringsplatform Romulus, dat recent door Forescout werd beschreven als een middel om Legion Loader en andere malware via DLL-sideloading te verspreiden. Huntress meldt dat sommige campagnes kwaadaardige ChatGPT Custom GPT's inzetten om slachtoffers naar een valse URL te leiden die een ClickFix-lokmiddel serveert. Wanneer het slachtoffer dit kopieert en uitvoert, wordt via PowerShell een MSI-installer gedropt die DLL-sideloading misbruikt om uiteindelijk een remote access trojan te installeren.
Siemens deelt indicatoren van compromittering, waaronder IP-adressen 96.62.218[.]59 en 2.27.248[.]127, en het domein wizardexpensive[.]com, die worden gebruikt voor hosting van payloads, command-and-control en distributie van de MSI. Organisaties worden geadviseerd om het Siemens Software Center bij te werken naar versie 4.0.9.8 of hoger en de applicatie te starten om de update toe te passen. Daarnaast wordt aangeraden de genoemde IP-adressen en domeinen te blokkeren en te controleren op het proces 'SiemensSoftwareCenter.exe' dat wordt gestart vanuit 'AppData\Local\Programs' door 'msiexec.exe'.
