ClickFix-атака использует уязвимость Siemens Software Center для доставки трояна

Siemens закрыла уязвимость подмены DLL (DLL sideloading) в приложении Siemens Software Center. По заявлению компании, брешь уже эксплуатировалась в так называемых ClickFix-атаках.

Суть уязвимости

Проблема получила идентификатор CVE-2026-110936 и оценку 8.4 по шкале CVSS v4 (высокий уровень опасности). Приложение загружало динамические библиотеки из неконтролируемого пути поиска. Это позволяло локальному аутентифицированному злоумышленнику поместить специально подготовленную DLL в каталог, который просматривает программа, и добиться выполнения произвольного кода с привилегиями самого приложения.

Уязвимость исправлена в версии 4.0.9.8. Обнаружил и сообщил о ней исследователь Хосе Орегон из Huntress Labs.

Как действовали злоумышленники

В отдельном предупреждении Siemens рассказала, что атакующие брали подлинную копию Siemens Software Center с действительной подписью и размещали рядом собственную библиотеку archive.dll, запуская тем самым вредоносный код. Выбор пал на эту программу именно потому, что она подписана и пользуется доверием, а версия 3.5.8.7 — актуальная на тот момент — загружала вспомогательные файлы из своей папки без проверки.

Схема выглядела так: через msiexec.exe запускался AllMyBasic.msi, который, в свою очередь, выполнял SiemensSoftwareCenter.exe. Активность приписывают ClickFix-платформе Romulus, описанной Forescout на прошлой неделе и используемой для доставки Legion Loader и другого вредоносного ПО через подмену DLL.

По данным Huntress, в части кампаний применялись вредоносные пользовательские GPT в ChatGPT: они направляли жертву на поддельный адрес, где подсовывалась ClickFix-приманка. Скопировав и выполнив её, жертва запускала PowerShell-код, который загружал MSI-установщик, а тот через подмену DLL в итоге разворачивал троян удалённого доступа.

Что делать

Siemens привела индикаторы компрометации: адреса 96.62.218[.]59 и 2.27.248[.]127, а также домен wizardexpensive[.]com. Помимо обновления до версии 4.0.9.8 и запуска приложения для применения патча, организациям рекомендовано заблокировать указанные адреса и домены, а также отслеживать запуск SiemensSoftwareCenter.exe из каталога AppData\Local\Programs, инициированный через msiexec.exe.

Источник: The Hacker News