Siemens Software Center açığı, ClickFix saldırılarında zararlı DLL yüklemek için kullanılıyor

Siemens, lisanslı yazılımların indirilmesi, kurulması, etkinleştirilmesi ve güncellenmesi için kullanılan Siemens Software Center uygulamasındaki bir açığın, bir ClickFix zararlı yazılım kampanyasında kurbanların bilgisayarlarında kötü amaçlı kod çalıştırmak için istismar edildiğini doğruladı. SecurityWeek'in 19 Ekim'de aktardığına göre CVE-2026-110936 koduyla izlenen ve CVSS v4 ölçeğinde 8,4 puan alan açık 15 Ekim'de duyuruldu; Siemens ise dört gün sonra yayımladığı blog yazısıyla aktif istismarı kabul etti.

Neler oldu?

SecurityWeek'in haberine göre saldırganlar, Siemens Software Center'ın meşru ve geçerli şekilde imzalanmış bir kopyasını kendi hazırladıkları zararlı DLL dosyalarıyla birlikte paketledi. Program başlatıldığında bu DLL'leri kendi klasöründen yüklüyor; böylece saldırganın kodu güvenilir ve imzalı bir uygulamanın arkasına gizlenerek çalışıyor.

Siemens, bu etkinliği çok platformlu bir ClickFix kampanyası olan Romulus ile ilişkilendirdi. ClickFix tuzakları, sahte CAPTCHA doğrulamaları gibi yöntemlerle kullanıcıları zararlı komutları kendi elleriyle yapıştırıp çalıştırmaya ikna ediyor. Forescout'un bir hafta önce yayımladığı araştırma, Romulus'u LegionLoader zararlısını ve meşru bir Stardock uygulaması üzerinden DLL yükleyen truva atlı bir kurulum dosyasını dağıtan çok yüklü bir dağıtım platformu olarak tanımlıyor. Forescout, Romulus'u Siemens'in zararlı paketi dağıttığını belirlediği sunucu da dahil olmak üzere birçok sunucuda tespit etti, ancak platformu kimin işlettiğini belirleyemedi.

SecurityWeek ayrıca Huntress'in eylül sonunda, kurbanları sahte ChatGPT Custom GPT'leri aracılığıyla ClickFix sayfalarına çeken ve imzalı Canon ile Stardock programlarını kötüye kullanarak uzaktan erişim truva atı kuran benzer bir kampanya bildirdiğini hatırlattı. Huntress en az 40 olaya müdahale etti. İki raporda da Siemens Software Center geçmiyor; SecurityWeek, ortak altyapı ve benzer teknikler nedeniyle uygulamanın aynı araç setine eklenmiş olabileceğini değerlendiriyor.

Teknik detaylar

Sorun, Software Center'ın DLL dosyalarını aradığı konumları yeterince kısıtlamamasından kaynaklanıyor. Kimliği doğrulanmış yerel bir saldırgan, bu klasörlerden birine zararlı bir DLL bırakarak kodunu uygulamayla aynı yetkilerle çalıştırabiliyor. O dönemin en güncel sürümü olan 3.5.8.7, bu yardımcı dosyaları yüklemeden önce doğrulamıyordu. Açığı Huntress araştırmacısı Jose Oregon bildirdi.

Siemens, yazılımının değiştirilmediğini, zararlı paketin kendi kanalları üzerinden dağıtılmadığını ve bildiği kadarıyla hiçbir Siemens sisteminin, ürününün veya güncelleme kanalının ihlal edilmediğini vurguladı. Şirket, tehdit istihbaratını yetkililer ve EDR sağlayıcılarıyla paylaştığını açıkladı.

Ne yapmalı?

• Siemens Software Center'ı 4.0.9.8 veya daha yeni bir sürüme yükseltin. Siemens 17 Ekim'de güvenlik bildirimini güncelleyerek düzeltmeyi duyurdu; mevcut kurulumlar güncellemeyi uygulama bir sonraki açılışında otomatik olarak almalı.
• İmzalı Siemens dosyası meşru olduğu için dosya özetine (hash) dayalı engelleme yeterli değil. Siemens'in blog yazısındaki göstergeleri kullanarak şüpheli davranışları ve zararlıyla ilişkili klasörleri arayın.
• Kampanya kurbanın komutu kendisinin çalıştırmasına dayandığından kullanıcıları ClickFix tuzaklarına karşı bilinçlendirin.