Атаку с подменой библиотек в Siemens Software Center начали до того, как производитель раскрыл уязвимость. Посторонние файлы появлялись рядом с подписанной сборкой 3.5.8.7, актуальной на тот момент. Бюллетень SSA-580366 Siemens опубликовала 15 октября, исправление вышло в версии 4.0.9.8. Спустя четыре дня, 19 октября, компания подтвердила активную эксплуатацию и добавила в документ ссылку на рекомендации по обнаружению.
Описание
Проблему нашёл Хосе Орегон из Huntress Labs, его имя указано в благодарностях к бюллетеню. Номер CVE-2026-110936 присвоен ошибке класса "неконтролируемый элемент пути поиска": приложение обращается за вспомогательными файлами в каталоги, которые может изменить посторонний, о чём предупреждают авторы документа по данным Siemens ProductCERT. Опасность в том, что проверка подписи в такой схеме не помогает.
Подмена библиотек обошла цифровую подпись
Цифровая подпись исполняемого файла осталась подлинной. Программу никто не менял: рядом с ней появились чужие библиотеки, которые уязвимая версия загружала при старте без всякой проверки. Такой приём называют подменой библиотек (DLL sideloading). В результате чужой код получал те же права, что и само приложение, а средства защиты видели знакомый и доверенный файл.
Подготовить такую атаку может лишь тот, у кого уже есть доступ к компьютеру и права локального администратора. Об этом говорит вектор оценки уязвимости. Базовый балл по третьей версии шкалы CVSS составил 6.7, по четвёртой - 8.4. Затронуты все сборки Software Center ниже 4.0.9.8; обновление ставится автоматически при следующем запуске программы, вручную скачивать его не требуется.
Обман через буфер обмена
Распространяли вредоносный набор в рамках кампании Romulus, построенной на приёме ClickFix. Жертве показывают страницу с проверкой "я не робот" и предлагают скопировать строку, а затем вставить её в окно "Выполнить" или в PowerShell. Согласившись, пользователь своими руками запускает установку связанного пакета. Вместе с подписанной программой на диск попадают посторонние файлы, и при следующем старте приложение подхватывает их.
Один из узлов распространения уже отключён и файлы больше не отдаёт. Однако компьютеры, которые успели скачать установочный пакет до его отключения, могут оставаться заражёнными. Второй узел, по наблюдениям авторов разбора, продолжал работать на момент публикации: он служит и хранилищем полезной нагрузки, и командно-контрольным сервером (C2).
Признаки заражения
О заражении говорят несколько деталей. Программа Siemens Software Center появляется в автозагрузке или в планировщике заданий на компьютере, где её никогда не устанавливали. В пользовательском профиле возникает каталог со служебным именем, а рядом с исполняемым файлом оказываются файлы с нетипичными названиями. Кроме того, машина поддерживает соединение с внешним адресом, который используется для управления вредоносным кодом.
Защитникам стоит искать процесс, запущенный установщиком из пользовательского каталога, а не из папки программы. Обнаружив его, компьютер изолируют: сначала останавливают процесс, затем удаляют запись автозагрузки и задание планировщика, после чего меняют пароли. Проверять подпись самого файла Siemens бессмысленно, она подлинная. Смотреть нужно на окружение и поведение.
Siemens заявляет, что ни одна её система, продукт или канал обновления не были скомпрометированы. Данные об атаке компания передала производителям средств обнаружения на конечных точках и профильным ведомствам, чтобы расширить покрытие детектирования. Владельцам Software Center остаётся обновиться до 4.0.9.8 и не выполнять команды, скопированные со сторонних страниц.
Индикаторы компрометации
