ハッカーがSiemens Software Centerの脆弱性を悪用、不正コードを実行

Siemensは、同社の「Software Center」に存在するDLLサイドローディングの脆弱性「CVE-2026-110936」が、実際の攻撃で悪用されていることを確認しました。

StudySecurity

攻撃者はこの脆弱性を利用し、デジタル署名付きの正規アプリケーションを介して不正コードを実行しています。Siemensは10月15日にセキュリティアドバイザリ「SSA-580366」を公開し、バージョン4.0.9.8で問題を修正しました。

キャンペーンに関するレポートによると、攻撃者は改変されていないSiemensの実行ファイルを、悪意あるDLLファイルとともに公式チャネル以外で配布していました。Siemensは、自社のシステム、製品、更新インフラへの侵害は把握していないとしています。

Siemens Software Centerの脆弱性

この脆弱性は、DLLの検索パスが制御されていないことに起因し、CWE-427に分類されます。攻撃者が細工したライブラリをアプリケーションの検索対象ディレクトリに置くと、アプリケーションの権限でコードを実行できます。Siemensは、この問題にCVSS v3.1で6.7、v4.0で8.4のスコアを割り当てています。

確認された攻撃では、Siemens Software Centerのバージョン3.5.8.7が侵入の手段として使われました。このアプリケーションは、自身のディレクトリにある攻撃者が用意した補助ライブラリを検証せずに読み込みます。そのため、正規の実行ファイルを起動すると不正コードが実行されます。

Siemensのバイナリは有効な署名を保っていましたが、悪意ある機能は隣接するDLLに仕込まれていました。実行ファイルの真正性だけを確認していると、こうした有害なコンポーネントを見逃すことになります。

レポートは、この活動をマルチプラットフォーム型ClickFixキャンペーン「Romulus」によるものとしています。Webサイトからコピーしたコマンドを、WindowsのRunダイアログやPowerShellに貼り付けないよう注意を促しており、このキャンペーンのソーシャルエンジニアリングの側面を強調しています。

報告されたインフラには、ペイロードのホスティングとコマンド&コントロール（C2）に使われている稼働中のエンドポイントとして、96.62.218[.]59とwizardexpensive[.]comが含まれます。

すでに稼働していない配布用エンドポイント2.27.248[.]127は、以前、悪意あるMSIバンドル「AllMyBasic.msi」をホストしていました。これらの状態は提供されたレポートの内容に基づくもので、現時点で利用可能かどうかは独自に確認していません。

防御側は、次の侵害の兆候を調べる必要があります。

• Siemens Software Centerの想定外のスタートアップエントリやスケジュールタスク
• AppData\Local\Programsから実行されているSiemensSoftwareCenter.exe（特にmsiexecが起動したもの）
• そのフォルダ配下にあるSM Software Provisioning Serviceディレクトリ
• 実行ファイルの隣にあるactivate.bakまたはstatinfosta.DBという名前のファイル
• AppData\Local配下にあり、ftc.umlを含むFTSuiteディレクトリ
• レポートは「`archive.dll`」も悪意あるファイルと特定しています。検知にあたっては、正規のSiemens実行ファイルの署名だけに頼らず、不審なディレクトリ、隣接するライブラリ、プロセスの親子関係、永続化の仕組み、ネットワーク活動に注目すべきです。

4.0.9.8より前のSiemens Software Centerは、すべてのバージョンが影響を受けます。既存のインストール環境は、次回起動時に自動で更新されます。管理者は、修正版が導入されているかを確認してください。

組織は、報告されたインフラへの通信をブロックし、過去の接続履歴も確認する必要があります。稼働していない配布用アドレスへの通信も対象です。侵害の兆候を検知した場合は、影響を受けたエンドポイントを隔離し、不正なプロセスを停止させ、永続化の仕組みを調査したうえで、確立されたインシデント対応の手順に従ってください。

代替のインストーラーは、必ずSiemens公式の入手元からダウンロードしてください。アップデートで脆弱性は解消されますが、すでに侵害の兆候がある可能性のあるシステムの徹底調査を省いてよいことにはなりません。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに統合。