Siemens ha corregido una vulnerabilidad de carga lateral de DLL que afecta a Siemens Software Center y que, según la propia compañía, fue aprovechada en ataques de tipo ClickFix.
El fallo, de gravedad alta y catalogado como CVE-2026-110936 con una puntuación CVSS v4 de 8.4, permitiría a un atacante colocar una DLL manipulada en un directorio que la aplicación consulta durante su búsqueda, lo que se traduce en la ejecución de código malicioso con los mismos privilegios que el servicio afectado.
La aplicación afectada carga bibliotecas de vínculo dinámico (DLL) desde una ruta de búsqueda no controlada. Esto podría permitir que un atacante local autenticado coloque una DLL especialmente diseñada en un directorio que la aplicación busca, lo que conlleva la ejecución arbitraria de código con los privilegios de la aplicación afectada.
La compañía ha corregido el problema en la versión 4.0.9.8. El investigador de Huntress Labs Jose Oregon ha sido reconocido como responsable del descubrimiento y la notificación de la vulnerabilidad.
En una alerta independiente, Siemens señaló que los atacantes han abusado de una copia legítima de Siemens Software Center con una firma válida y han colocado junto a ella una DLL manipulada propia ("archive.dll") para provocar la ejecución de código malicioso.
Eligieron este programa como vehículo porque está firmado y es de confianza, y porque la versión 3.5.8.7, la más reciente en ese momento, cargaba archivos auxiliares desde su propia carpeta sin verificarlos.
En concreto, se ha detectado que los actores de amenazas emplean "msiexec.exe" para lanzar "AllMyBasic.msi", que a su vez ejecuta "SiemensSoftwareCenter.exe". La actividad se ha atribuido a una plataforma de entrega ClickFix llamada Romulus, descrita por Forescout la semana pasada como un medio utilizado para distribuir Legion Loader y otro malware mediante carga lateral de DLL.
Según Huntress, algunas de estas campañas han utilizado GPT personalizados maliciosos de ChatGPT para dirigir a las víctimas a una URL falsa encargada de servir un señuelo ClickFix que, al ser copiado y ejecutado por la víctima, ejecuta código PowerShell para instalar un MSI que abusa de la carga lateral de DLL y acaba desplegando un troyano de acceso remoto.
Siemens ha compartido los siguientes indicadores de compromiso:
- 96.62.218[.]59 (alojamiento de payload y mando y control)
- wizardexpensive[.]com (alojamiento de payload y mando y control)
- 2.27.248[.]127 (canal de distribución de AllMyBasic.msi)
Además de actualizar Siemens Software Center a la versión 4.0.9.8 o posterior e iniciar la aplicación para aplicar la actualización, se recomienda a las organizaciones bloquear las direcciones IP y los dominios asociados a la actividad maliciosa y buscar "SiemensSoftwareCenter.exe" ejecutándose desde "AppDataLocalPrograms" e iniciado por "msiexec.exe".
Deja una respuesta