Angreifer missbrauchen Siemens Software Center

Siemens hat bestätigt, dass Angreifer eine Schwachstelle in der Anwendung Siemens Software Center für eine Malware-Kampagne ausgenutzt haben. Über das Programm laden Kunden gekaufte Siemens-Software herunter, installieren, aktivieren und aktualisieren sie und starten kostenlose Testversionen.

Die Lücke mit der Kennung CVE-2026-110936 entsteht, weil das Programm die Verzeichnisse, in denen es nach DLL-Dateien sucht, nicht ausreichend einschränkt. Ein angemeldeter lokaler Angreifer kann eine schädliche DLL in einem dieser Ordner ablegen und so Code mit den Rechten des Software Center ausführen. Siemens hatte die Lücke am 15. Oktober mit einem CVSS-v4-Wert von 8,4 veröffentlicht. Behoben ist sie in Version 4.0.9.8. Bereits installierte Versionen erhalten das Update automatisch beim nächsten Start. Gemeldet hatte die Lücke Jose Oregon vom Sicherheitsunternehmen Huntress.

Signierte Software, fremde DLLs

Die Angreifer verbreiteten eine echte, gültig signierte Kopie des Programms zusammen mit eigenen schädlichen DLL-Dateien. Beim Start lud das Programm diese Dateien aus seinem eigenen Ordner. Die zu diesem Zeitpunkt aktuelle Version 3.5.8.7 prüfte solche Hilfsdateien laut Siemens vor dem Laden nicht. Die Software selbst sei nicht manipuliert worden, das schädliche Paket wurde nicht über Vertriebskanäle von Siemens verbreitet.

„Unseres Wissens wurde kein Siemens-System, -Produkt oder -Update-Kanal kompromittiert.”
Siemens

Da die verwendete Siemens-Datei echt ist, empfiehlt der Hersteller, sich bei der Erkennung auf verdächtiges Verhalten und die von der Schadsoftware genutzten Ordner zu konzentrieren statt auf Datei-Hashes. Indikatoren hat Siemens in einem Blogbeitrag veröffentlicht und teilt sie mit Behörden und Anbietern von EDR-Lösungen.

Verbindung zur Plattform Romulus

Siemens ordnet die Angriffe der ClickFix-Kampagne Romulus zu. Bei ClickFix fordern gefälschte Hinweise wie angebliche CAPTCHA-Prüfungen Nutzer auf, schädliche Befehle selbst einzufügen und auszuführen. Das Sicherheitsunternehmen Forescout hatte Romulus in der vergangenen Woche als Plattform beschrieben, die verschiedene Schadprogramme ausliefern kann, darunter LegionLoader und ein manipuliertes Installationsprogramm, das eine Anwendung des Herstellers Stardock für DLL-Sideloading nutzt. Wer Romulus betreibt, ist nicht bekannt. Forescout fand die Plattform auf mehreren Servern, darunter der Server, über den laut Siemens das schädliche Paket verteilt wurde.

Dasselbe Stardock-Paket hatte Huntress Ende September in einer Kampagne beschrieben, bei der präparierte Custom GPTs Nutzer auf ClickFix-Seiten lockten. Dort wurden signierte Programme von Canon und später Stardock missbraucht, um einen Fernzugriffstrojaner zu laden. Huntress geht davon aus, dass auch signierte Programme weiterer Hersteller missbraucht werden.

(red)