Siemensは月曜日、同社のSiemens Software Centerの脆弱性が、マルウェアキャンペーンの一環として攻撃者に悪用されたことを明らかにしました。
Siemens Software Centerは、顧客が購入したソフトウェアのダウンロード、インストール、アクティベーション、更新を担うツールで、無料トライアルの開始にも使われます。
この脆弱性はCVE-2026-110936として追跡されています。原因は、プログラムがDLLファイルを検索する場所を適切に制限していないことです。認証済みのローカル攻撃者が、検索対象のフォルダーに悪意あるDLLを仕込むと、Software Centerと同じ権限で自分のコードを実行できます。
Siemensは10月15日、この脆弱性をセキュリティ勧告で公表しました。CVSS v4のスコアは8.4です。2日後には勧告を更新し、バージョン4.0.9.8で問題が解消されたと顧客に伝えています。
すでにアプリケーションをインストールしているユーザーは、次回の起動時に修正版が自動的に適用されます。
勧告は月曜日まで、実際の攻撃での悪用に触れていませんでした。この日、Siemensは攻撃の詳細を説明する新しいブログ記事へのリンクを追加しました。
攻撃者は、有効なデジタル署名を持つSiemens製プログラムの正規コピーと、自ら用意した悪意あるDLLファイルを組み合わせていました。プログラムが起動すると、自身のフォルダーに置かれた攻撃者提供のファイルを読み込んでしまいます。
Siemensによると、当時の最新版だったバージョン3.5.8.7は、これらの補助ファイルを読み込む前に検証していませんでした。
同社は、自社のソフトウェアが改ざんされたわけではなく、悪意あるパッケージがSiemensの配布経路で拡散されたわけでもないと説明しています。
「当社の把握する限り、Siemensのシステム、製品、更新チャネルが侵害された事実はありません」と同社は述べています。
Siemensは、脅威インテリジェンスを当局やEDRベンダーと共有しています。ブログ記事には、侵害指標（IoC）に加えて、コンピューターが感染した可能性を示す兆候も掲載されています。
攻撃に使われたSiemensのファイルは正規のものです。そのため同社は、防御側にはファイルのハッシュ値に頼らず、不審な挙動やマルウェアに関連するフォルダーに注目するよう推奨しています。
この脆弱性をSiemensに報告したのは、Huntressの研究者Jose Oregon氏です。
SiemensはRomulus ClickFixオペレーションとの関連を指摘
Siemensは、今回の攻撃をマルチプラットフォーム型のClickFixキャンペーン「Romulus」と結び付けています。ClickFix攻撃は、偽のCAPTCHA認証などの偽プロンプトを使い、ユーザー自身の端末に悪意あるコマンドを貼り付けて実行させる手口です。
先週、ForescoutはRomulusに関する調査結果を公開しました。RomulusはClickFixの配信プラットフォームで、複数の異なるマルウェアを配布できます。同社は、このプラットフォームが複数のサーバーで稼働していることを確認しました。その中には、Siemensが同社ソフトウェアを含む悪意あるバンドルの配布サーバーと特定したものも含まれます。
Forescoutは、このプラットフォームがマルウェア「LegionLoader」を配信していたことを確認しました。正規のStardock製アプリケーションをDLLサイドローディングに悪用するトロイの木馬化インストーラーも配信していました。
研究者らは、Romulusの運用者を特定できませんでした。非公開のツールか、サイバー犯罪者に販売されるサービス、アフィリエイトプログラム、あるいは複数の攻撃者がコピーして使うソフトウェアの可能性があるとしています。
Huntressは9月下旬の報告書で、同じStardockを使ったパッケージを取り上げています。このキャンペーンでは、不正なChatGPTカスタムGPTを使ってユーザーをClickFixのページに誘導していました。攻撃ではCanon製、のちにStardock製の署名付きプログラムが悪用され、悪意あるコードがサイドロードされました。最終的にRATが展開されています。
Huntressはこのキャンペーンに関連する少なくとも40件のインシデントに対応しました。他のベンダーの署名付きプログラムも悪用されている可能性が高いとみています。
HuntressとForescoutの報告書には、Siemens Software Centerへの言及はありません。ただ、インフラが重なっていることや、サイドローディングという手口が似ていることから、Siemensのプログラムが同じツールキットに追加された可能性があります。
