Siemensは、Siemens Software Centerに存在するDLLサイドローディングの脆弱性「CVE-2026-110936」が実際に悪用されていることを認めました。攻撃者は、正規のデジタル署名付きアプリケーションを悪用し、不正なコードを実行しています。
同社は10月15日にセキュリティアドバイザリ「SSA-580366」を公開し、バージョン4.0.9.8でこの問題を修正しました。既存の環境では、アプリケーションを次に起動した際に自動で更新されます。
この脆弱性は4.0.9.8より前のすべてのバージョンに影響します。原因は、DLLの検索パスが適切に制御されていないことです。認証済みのローカル攻撃者が、アプリケーションの検索対象ディレクトリに細工したライブラリを配置すると、アプリケーションの権限でコードを実行できてしまいます。
Siemensは、この脆弱性にCVSS 3.1で6.7、CVSS 4.0で8.4のスコアを付けています。確認された攻撃キャンペーンでは、攻撃者は改変されていない正規署名付きのSiemens Software Center実行ファイルを、不正なDLLとともにまとめて配布していました。
攻撃者が利用したのは、当時の最新リリースとされるバージョン3.5.8.7です。このバージョンは、自身のディレクトリにある補助ファイルを検証せずに読み込む仕様でした。
不正なコードは、Siemensの実行ファイルではなく、攻撃者が用意したライブラリに含まれていました。Siemensによると、同社のシステム、製品、更新チャネルが侵害された事実は把握していないとのことです。不正なパッケージは、公式の配布経路の外で出回っていました。
Siemensは、この活動をマルチプラットフォーム型の「Romulus」ClickFixキャンペーンと関連付けています。同社のガイダンスは、Webページからコマンドをコピーして、Windowsのファイル名を指定して実行やPowerShellに貼り付けないよう利用者に警告しています。正規の人間確認チェックでは、こうした操作は求められないと強調しています。
報告されているインフラには、96.62.218[.]59とwizardexpensive[.]comが含まれます。通知の公開時点で、どちらもペイロードのホスティングとコマンド＆コントロール（C2）に使われる稼働中のエンドポイントと確認されていました。
別のアドレス2.27.248[.]127は、以前にマルウェアバンドル「AllMyBasic.msi」を配布していましたが、現在は稼働していません。ただし、このアドレスからの過去のダウンロードについても調査が必要です。
ホスト上の痕跡としては、アプリケーションをインストールした覚えのない端末に、Siemens Software Centerの不審なスタートアップエントリやスケジュールタスクが存在するケースが挙げられます。
調査担当者は、AppData\Local\ProgramsにSM Software Provisioning Serviceフォルダがないかを確認してください。あわせて、SiemensSoftwareCenter.exeと同じ場所にactivate.bakやstatinfosta.DBがないかも調べます。ほかにも、AppData\Local\FTSuite\ftc.umlが痕跡として報告されています。
防御側は、AppData\Local\ProgramsからSiemensSoftwareCenter.exeが実行されていないかを調べる必要があります。特にmsiexecから起動された場合は要注意です。あわせて、報告されたインフラへの接続との相関も確認してください。
検知では、正規のSiemens実行ファイルのフィンGERプリントそのものを悪意あるものとみなすのではなく、不審なディレクトリ、隣接するDLL、永続化の仕組み、実行時の挙動を優先して見るべきです。
組織は、バージョン4.0.9.8以降へ更新し、ソフトウェアはSiemensの公式ソースからのみ入手してください。また、記載されたインフラをファイアウォール、プロキシ、DNSリゾルバーでブロックすることも求められます。ログ検索では、稼働していない配布用アドレスも対象に含め、過去の感染機会を洗い出してください。
侵害の兆候が見つかった場合、対応担当者は、確立されたインシデント対応手順に従い、エンドポイントを隔離し、不正なプロセスを停止します。そのうえで、関連するスタートアップエントリとスケジュールタスクを削除し、影響を受けたパスワードをリセットしてください。
Siemensは、エンドポイント検知ベンダーや当局と連携し、インテリジェンスの共有、検知範囲の拡大、より広範な防御策の調整を進めていると説明しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-exploit-siemens-software-center-vulnerability/
