Компания Siemens устранила уязвимость DLL sideloading, затрагивающую Siemens Software Center, которая, по ее словам, использовалась в атаках ClickFix. Уязвимость высокого уровня опасности, отслеживаемая как CVE-2026-110936 (оценка CVSS v4: 8,4), могла позволить злоумышленнику поместить специально созданный DLL-файл в каталог, который ищет приложение, что привело бы к выполнению вредоносного кода с теми же привилегиями, что и у затронутого сервиса. «Затронутое приложение загружает динамически подключаемые библиотеки (DLL) из неконтролируемого пути поиска», — говорится в консультативном сообщении Siemens. «Это могло позволить аутентифицированному локальному злоумышленнику поместить специально созданный DLL-файл в каталог, который ищет приложение, что привело бы к произвольному выполнению кода с привилегиями затронутого приложения». Проблема была исправлена в версии 4.0.9.8. Исследователю Huntress Labs Хосе Орегону приписывают обнаружение и сообщение об этом недостатке. В отдельном уведомлении Siemens сообщила, что злоумышленники злоупотребили подлинной копией Siemens Software Center с действительной подписью и поместили рядом с ней свой собственный созданный DLL-файл («archive.dll»), чтобы вызвать выполнение вредоносного кода. «Они выбрали эту программу в качестве носителя, потому что она подписана и доверена, а также потому, что версия 3.5.8.7, последняя на тот момент, загружала вспомогательные файлы из собственной папки без их проверки», — добавили в Siemens. В частности, было обнаружено, что злоумышленники использовали «msiexec.exe» для запуска «AllMyBasic.msi», который затем выполнял «SiemensSoftwareCenter.exe». Эта активность была приписана платформе доставки ClickFix под названием Romulus, которая на прошлой неделе была описана Forescout как используемая для доставки Legion Loader и другого вредоносного ПО с помощью DLL sideloading. По данным Huntress, некоторые из этих кампаний использовали вредоносные пользовательские GPT ChatGPT для направления жертв на поддельный URL-адрес, ответственный за предоставление приманки ClickFix, которая при копировании и выполнении жертвой запускает код PowerShell для развертывания установщика MSI, злоупотребляющего DLL sideloading для окончательного развертывания трояна удаленного доступа. Siemens предоставила следующие индикаторы компрометации. Помимо обновления Siemens Software Center до версии 4.0.9.8 или новее и запуска приложения для применения обновления, организациям рекомендуется блокировать IP-адреса и домены, связанные с вредоносной активностью, и искать «SiemensSoftwareCenter.exe», запущенный из «AppData\Local\Programs» и запущенный «msiexec.exe».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
