Siemensは、同社のSoftware Centerに存在するダイナミックリンクライブラリ(DLL)のサイドローディングの脆弱性が攻撃者に積極的に悪用され、マルウェアの配布に使われているとして、顧客に注意を呼びかけました。
同社はこの攻撃活動を、マルチプラットフォームに対応したClickFixキャンペーン「Romulus」によるものとしています。
Romulusは、サーバーホスティング用のパネルです。Forescoutの研究者らが10月14日に確認しました。このパネルを使うと、サイバー犯罪者はClickFixの手口をエコシステム全体に展開できます。このエコシステムは繰り返し利用でき、被害者に対してさまざまな種類のマルウェアを配布できます。
ClickFixは、サイバー犯罪者の間で広く使われている攻撃手法です。ソーシャルエンジニアリングによって被害者をだまし、攻撃者が用意したコマンドを被害者自身のマシン上で実行させます。
Siemensが10月19日に公開したブログによると、攻撃者はCVE-2026-110936(CVSS 8.4)を悪用しています。Siemens Software Centerが検索するディレクトリに、悪意のあるDLLファイルを読み込ませる手口です。攻撃者は、有効な署名を持つ正規のアプリケーションのコピーを使い、その隣に自分たちのファイルを配置します。
そのうえで、ClickFixのおとりを使ってこれらのファイルを顧客に配布しようとします。
同社は、Software Contenterのバージョン3.5.8.7が、自身のフォルダ内にあるヘルパーファイルを検証せずに読み込んでいたことを認めました。
ユーザーがClickFixのコマンドに従うと、影響を受けるアプリケーションの権限で、悪意のあるコードがデバイス上で実行されます。
Siemensは次のように注意を促しています。「Webページに表示されたコマンドを、Win+Rの『ファイル名を指定して実行』ボックスやPowerShellに貼り付けてはいけません。本物の『私はロボットではありません』という確認が、これを求めることはありません」
Romulusキャンペーンへの対策
Siemensは、Software Centerの利用者に対し、この脆弱性を修正したバージョン4.0.9.8へのアップデートを促しています。既存のインストール環境は、次回起動時に自動で更新されます。
顧客は、次のような兆候がないかも確認する必要があります。PCがこのキャンペーンの影響を受けている可能性を示すものです。
- Software Centerをインストールしたことがない PCで、スタートアップアプリまたはタスクスケジューラに「Siemens Software Center」が登録されている
- マルウェアによって、AppData\Local\Programs内に「SM Software Provisioning Service」というフォルダが作成されている
- SiemensSoftwareCenter.exeと同じ場所に、activate.bakまたはstatinfosta.DBという名前のファイルがある
- AppData\Local内に、ftc.umlというファイルを含む「FTSuite」というフォルダがある
- 96.62.218[.]59へのネットワーク接続がある
PCが侵害されていた場合、顧客はまずデバイスを隔離し、プロセスを停止してください。そのうえで、スタートアップ項目とタスクを削除し、パスワードをリセットする必要があります。
Siemensは、検知ツールではSiemensのファイルのフィンガープリントではなく、フォルダと不審な挙動に着目すべきだと付け加えています。ファイル自体は正規のものであるためです。
さらに顧客は、Siemensのソフトウェアを必ず公式のSiemensの配布元からのみダウンロードし、アドバイザリに記載されている稼働中のIPアドレスとドメインをブロックする必要があります。
画像クレジット: Kittyfly / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/siemens-clickfix-exploiting-side/
