A Siemens corrigiu uma vulnerabilidade de carregamento lateral de DLLs (bibliotecas de vínculo dinâmico) que afeta o Siemens Software Center e que, segundo a empresa, já foi explorada em ataques ClickFix.
A falha, de alta gravidade, identificada como CVE-2026-110936 (CVE é a sigla de Common Vulnerabilities and Exposures, sistema público de identificação de vulnerabilidades; pontuação CVSS v4: 8,4, sendo CVSS o Common Vulnerability Scoring System, sistema de pontuação de gravidade), poderia permitir que um invasor colocasse uma DLL especialmente criada em um diretório pesquisado pelo aplicativo, resultando na execução de código malicioso com os mesmos privilégios do serviço afetado.
“O aplicativo afetado carrega bibliotecas de vínculo dinâmico (DLLs) a partir de um caminho de busca não controlado”, afirmou a Siemens em um alerta de segurança. “Isso pode permitir que um invasor local autenticado coloque uma DLL especialmente criada em um diretório que o aplicativo pesquisa, levando à execução arbitrária de código com os privilégios do aplicativo afetado.”
A falha foi corrigida na versão 4.0.9.8. O pesquisador Jose Oregon, da Huntress Labs, foi creditado pela descoberta e pela notificação da vulnerabilidade.
Em um alerta separado, a Siemens afirmou que atacantes abusaram de uma cópia genuína do Siemens Software Center, com assinatura válida, e colocaram ao lado dela uma DLL própria, criada para esse fim (“archive.dll”), a fim de disparar a execução de código malicioso.
“Eles escolheram este programa como veículo porque ele é assinado e confiável, e porque a versão 3.5.8.7, a mais recente na época, carregava arquivos auxiliares da própria pasta sem verificá-los”, acrescentou a Siemens.
Especificamente, agentes de ameaça têm utilizado o “msiexec.exe” para iniciar o “AllMyBasic.msi” (pacote de instalação do Windows), que então executa o “SiemensSoftwareCenter.exe”. A atividade foi atribuída a uma plataforma de entrega ClickFix chamada Romulus, que havia sido detalhada pela Forescout na semana passada como usada para distribuir o Legion Loader e outros programas maliciosos por meio de carregamento lateral de DLLs.
Segundo a Huntress, algumas dessas campanhas usaram GPTs personalizados maliciosos do ChatGPT para direcionar as vítimas a uma URL falsa que hospedava uma isca ClickFix. Quando copiada e executada pela vítima, a isca roda código PowerShell para instalar um pacote MSI que abusa do carregamento lateral de DLLs e, por fim, implanta um trojan de acesso remoto (RAT, sigla de remote access trojan).
A Siemens compartilhou os seguintes indicadores de comprometimento (IoCs, sigla de indicators of compromise):
- 96.62.218[.]59 (hospedagem de carga maliciosa e comando e controle)
- wizardexpensive[.]com (hospedagem de carga maliciosa e comando e controle)
- 2.27.248[.]127 (canal de distribuição do AllMyBasic.msi)
Além de atualizar o Siemens Software Center para a versão 4.0.9.8 ou posterior e iniciar o aplicativo para aplicar a atualização, recomenda-se que as organizações bloqueiem os endereços IP (protocolo de internet) e domínios associados à atividade maliciosa e procurem pelo “SiemensSoftwareCenter.exe” em execução a partir de “AppData\Local\Programs” e iniciado pelo “msiexec.exe”.
