Siemensは、同社のソフトウェアのダウンロード、インストール、管理用ツール「Siemens Software Center」に存在するDLLサイドローディングの脆弱性「CVE-2026-110936」が、実際に悪用されていることを確認しました。
Siemensは2026年10月15日、セキュリティアドバイザリーを公開しました。Huntress LabsのJose Oregon氏が報告したこの脆弱性には、CVSS v4.0で8.4のスコアが付けられています。
10月17日にはアドバイザリーを更新し、バージョン4.0.9.8で問題が修正されたことを顧客に通知しました。さらに10月19日には、悪用の事実を警告するブログ記事を公開しています。
Siemensは次のように説明しています。「攻撃者は、有効な署名を持つSiemens Software Centerの正規コピーを使い、その隣に自前のファイルを置きました。このプログラムが運び役に選ばれたのは、署名付きで信頼されているうえ、当時の最新版であるバージョン3.5.8.7が、自身のフォルダにある補助ファイルを検証せずに読み込んでいたためです」
実行ファイル自体は改ざんされていなかったと、同社は述べています。
同社は次のように付け加えています。「当社が把握する限り、Siemensのシステム、製品、更新チャネルが侵害された事実はありません。EDRベンダーや当局とは情報共有のために連携しており、より広範な検知と、協調した防御措置を可能にしています」
ファイルを運んだインストーラー「AllMyBasic.msi」は公式チャネル以外で拡散されており、この攻撃活動は、マルチプラットフォーム型のClickFixキャンペーン「Romulus」によるものとされています。
ClickFixとは、ユーザーをだまして悪意あるコマンドを自分で貼り付けて実行させる手口です。ブラウザ経由のダウンロードや、ユーザーが開くファイルを使わずにマルウェアを送り込めるため、メールやエンドポイントのセキュリティ製品による検知を回避しやすくなります。
ブログでは、Webページにあるコマンドを「Win+R」、ファイル名を指定して実行ボックス、PowerShellに貼り付けないよう呼びかけています。正規の「私はロボットではありません」という確認が、そうした操作を求めることはないためです。
共有された配信プラットフォーム
先週、Forescout傘下のVedere Labsは、インシデントを調査する中で「ROMULUS」というパネルをホストするサーバーを発見したと報告しました。このパネルは、複数のペイロードを扱う新たなClickFix配信プラットフォームだといいます。
研究者らは、このパネルを稼働させている6つのIPアドレスを特定しました。そのうちの1つ「2.27.248[.]127」は、SiemensがAllMyBasic.msiの配布元として挙げているアドレスと同じです。
このパネルは、PowerShellのステージングスクリプトと、マルウェアローダーを仕込んだトロイの木馬化MSIインストーラーを配信します。研究者らは、使用されているルートから「ROMULUSは、特定のマルウェアサーバーに固定された仕組みではなく、再利用可能な配信バックエンドだ」と指摘しています。分析したペイロードの1つ「LegionLoader」は、被害者のChromeブラウザーに保存された機密情報を収集できます。
Forescoutは次のように説明しています。「このプラットフォームの運用者が誰なのか、また最終的なマルウェアファミリーの所有者が共通なのかは不明です。ROMULUSは、個人が運用するパネルである可能性もあれば、商用のサイバー犯罪向け配信サービスや、アフィリエイト向けフレームワーク、あるいは運用者間でコピーされたソフトウェアである可能性もあります」
防御側への助言
防御側には、ブログに掲載された攻撃者のインフラをブロックするよう促しています。あわせて、AppData\Local\Programsからmsiexecによって起動されたSiemensSoftwareCenter.exeがないか、調べることも求めています。感染したマシンは隔離し、プロセスを停止して、スタートアップ項目を削除したうえで、パスワードをリセットする必要があります。
既存のインストール環境は、次回の起動時に修正版へ自動的に更新されます。Siemensは、ソフトウェアを公式の入手先からのみダウンロードするよう顧客に呼びかけています。
最新の情報漏えい、脆弱性、サイバーセキュリティ上の脅威を見逃さないよう、速報メールアラートをご購読ください。こちらから購読できます。
