Kibernetinis saugumas · Windows darbo vietos

Siemens Software Center naudojamas ClickFix atakose: ką tikrinti?

Siemens patvirtino aktyvų CVE-2026-110936 išnaudojimą. Atakose naudojama tikra, skaitmeniniu parašu pasirašyta programa kartu su užpuolikų DLL failais, o naudotojai viliojami paleisti kenkėjišką paketą.

· INsec komanda

Kas nutiko?

2026 m. spalio 19 d. Siemens ProductCERT paskelbė patvirtinusi aktyvų CVE-2026-110936 išnaudojimą. Pažeidžiamos „Siemens Software Center“ versijos iki 4.0.9.8 galėjo įkelti DLL bibliotekas iš nekontroliuojamos paieškos vietos. Taip vietinis, prieigą turintis užpuolikas galėjo paleisti savo kodą programos teisėmis. Siemens nurodo CVSS 4.0 balą 8,4, o pagal CVSS 3.1 – 6,7. Daugiau techninių detalių pateikia Siemens saugumo biuletenis SSA-580366.

Šioje kampanijoje užpuolikai naudojo tikrą „Siemens Software Center“ kopiją, kuri turėjo galiojantį skaitmeninį parašą, ir padėjo šalia savo DLL failus. Siemens nurodė, kad naudota 3.5.8.7 versija jų nepatikrindama įkeldavo pagalbinius failus iš savo aplanko. Vadinasi, vykdomasis Siemens failas nebuvo pakeistas – kenkėjiškas kodas buvo atskirose, kartu pateiktose bibliotekose. Siemens taip pat teigia neturinti duomenų, kad būtų pažeistos jos sistemos, produktas ar oficialus naujinimų kanalas.

ClickFix: kai žmogus pats paleidžia komandą

ClickFix – socialinės inžinerijos būdas, kai puslapis apsimeta CAPTCHA patikra, klaidos pranešimu ar kitu įprastu langu ir ragina žmogų nukopijuoti bei paleisti komandą. Šiuo atveju naudotojas galėjo būti įtikintas paleisti užpuolikų pateiktą programos paketą. Netikras „Aš ne robotas“ langas ar svetainė, prašanti įklijuoti tekstą į „Run“ langą ar PowerShell, yra aiškus pavojaus ženklas. Siemens pabrėžia, kad iš tinklalapio nereikia kopijuoti komandų į „Run“ ar PowerShell.

Ši ataka primena, kad galiojantis skaitmeninis parašas patvirtina konkretaus failo leidėją ir vientisumą, bet ne viso aplanko saugumą. Todėl svarbu vertinti, iš kur programa gauta, iš kokio katalogo ji paleista ir kokios bibliotekos yra šalia.

Ką patikrinti įmonės Windows kompiuteriuose?

Siemens nurodo požymius, kuriuos verta tikrinti kartu su EDR įspėjimais, Windows žurnalais ir naudotojo pranešimais:

  • „Siemens Software Center“ atsirado paleisties programose arba Task Scheduler užduotyse kompiuteryje, kuriame jis neturėtų būti įdiegtas.
  • Po AppData\Local\Programs sukurtas aplankas „SM Software Provisioning Service“.
  • Šalia SiemensSoftwareCenter.exe yra netikėti activate.bak arba statinfosta.DB failai.
  • Po AppData\Local yra aplankas „FTSuite“ su failu ftc.uml.
  • Žurnaluose matomi ryšiai su Siemens nurodytais kampanijos indikatoriais: IP 96.62.218[.]59 arba domenu wizardexpensive[.]com. Indikatoriai pateikiami „defanged“ forma, kad nebūtų netyčia atidaryti.

Vieno požymio nepakanka galutinei išvadai, tačiau keli sutampantys signalai turėtų paskatinti incidento tyrimą. Siemens taip pat rekomenduoja stebėti, ar SiemensSoftwareCenter.exe nepaleidžiamas iš netikėto naudotojo katalogo, pavyzdžiui, per msiexec, ir ieškoti neįprastų DLL greta programos.

Ką daryti dabar?

  1. Patikrinkite versiją. Atnaujinkite „Siemens Software Center“ į 4.0.9.8 arba naujesnę versiją. Siemens teigia, kad esamos programos įdiegs naujinį kitą kartą jas paleidus. Po paleidimo įsitikinkite, kad naujinys pritaikytas.
  2. Naudokite oficialų šaltinį. Programą atsisiųskite tik iš oficialių Siemens kanalų; atakos paketas buvo platinamas ne per Siemens naujinimų kanalą.
  3. Patikrinkite endpointų signalus. Peržiūrėkite paleisties įrašus, suplanuotas užduotis, įtartinus aplankus bei DLL failus, proceso paleidimo kelią ir tinklo ryšius.
  4. Įtarę kompromitavimą, izoliuokite įrenginį. Išsaugokite reikalingus žurnalus ir vykdykite organizacijos incidentų valdymo procedūrą. Slaptažodžius keiskite iš švaraus įrenginio ir pagal incidento tyrimo rekomendacijas.

Siemens pateikė kampanijos aprašą ir aptikimo požymius. Pirminį kontekstą taip pat skelbė HackingPassion; rekomendacijas ir pažeidžiamumo būseną tikrinome pagal Siemens ProductCERT informaciją.

Jei darbuotojas jau įklijavo komandą iš nepažįstamo tinklalapio, laikykite tai galimu incidentu. Nesiremkite vien antivirusinės programos rezultatu ar Siemens failo parašu: patikrinkite paleidimo aplinkybes ir kitus greta esančius failus.

Šaltiniai

Pažeidžiamumo versijos, pataisymas ir kampanijos indikatoriai šiame straipsnyje remiasi Siemens ProductCERT pranešimais, atnaujintais 2026 m. spalio 19 d.