Siemens bestätigt Angriffe auf Windows über eine Schwachstelle in Software Center
Siemens hat offiziell mitgeteilt, dass die Schwachstelle CVE-2026-110936 im Programm Software Center ausgenutzt wurde, um Computer unter Windows zu infizieren. Die Anwendung dient dem Herunterladen, Installieren, Aktivieren und Aktualisieren erworbener Software sowie dem Starten kostenloser Testversionen von Produkten.
Nach Angaben des Unternehmens nutzten die Angreifer eine echte Kopie von Software Center mit gültiger digitaler Signatur und platzierten daneben eigene schädliche DLL-Dateien. Beim Start lud das Programm diese Bibliotheken aus seinem Verzeichnis, wodurch fremder Code ausgeführt werden konnte. Die Signatur der Anwendung diente dabei als Tarnung für die schädliche Aktivität. Siemens betonte, dass das Programm selbst nicht verändert wurde und das infizierte Paket nicht über die offiziellen Bezugswege des Unternehmens verbreitet wurde.
Ursache der Schwachstelle war eine unzureichend strenge Prüfung des Speicherorts von DLL-Dateien. Ein lokaler Benutzer mit authentifizierten Zugriffsrechten konnte eine schädliche Bibliothek in einem der geeigneten Ordner ablegen und Code mit denselben Berechtigungen wie Software Center ausführen. Die Schwachstelle wurde mit 8,4 Punkten auf der Skala CVSS 4.0 bewertet.
Siemens veröffentlichte die Beschreibung des Problems am 15. Oktober und meldete am 17. Oktober die Behebung in Version 4.0.9.8. Ein bereits installiertes Programm erhält die Korrektur beim nächsten Start automatisch. Über die Fälle tatsächlicher Angriffe informierte das Unternehmen gesondert am Montag. Nach eigenen Angaben liegen keine Hinweise auf eine Kompromittierung von Systemen, Produkten oder Aktualisierungskanälen von Siemens vor.
Das Unternehmen leitet die Informationen zur Bedrohung an Strafverfolgungsbehörden und Hersteller von EDR-Systemen weiter, also von Werkzeugen zur Erkennung von und Reaktion auf Cyberangriffe. In den veröffentlichten Unterlagen sind Kompromittierungsindikatoren und Anzeichen einer möglichen Infektion aufgeführt.
Siemens bringt die Angriffe mit der Plattform Romulus in Verbindung, die zur Verbreitung von Schadsoftware mit der Methode ClickFix genutzt wird. In solchen Kampagnen werden Nutzern gefälschte CAPTCHA-Prüfungen oder andere glaubwürdige Anweisungen angezeigt, damit sie schädliche Befehle selbst kopieren und ausführen. Zuvor hatten Spezialisten von Forescout Romulus auf mehreren Servern entdeckt, darunter auf einem Server, der ein Paket mit gefälschten Siemens-Komponenten verteilte. Über die Plattform wurden die Schadsoftware LegionLoader sowie ein veränderter Installer ausgeliefert, der die legitime Anwendung Stardock nutzte, um schädlichen Code per DLL side-loading nachzuladen. Forescout konnte nicht ermitteln, wer hinter Romulus steht: Es könnte sich um ein privates Werkzeug, einen kommerziellen Dienst für Cyberkriminelle, eine Partnerplattform oder ein von mehreren Gruppen kopiertes Programm handeln.
Ende September beschrieb Huntress eine ähnliche Kampagne: Nutzer wurden über gefälschte benutzerdefinierte GPTs in ChatGPT auf ClickFix-Seiten gelockt, anschließend dienten signierte Programme von Canon und Stardock dazu, Code nachzuladen, der letztlich einen Remote-Access-Trojaner installierte. Huntress verzeichnete mindestens 40 zusammenhängende Vorfälle und hielt es für möglich, dass auf ähnliche Weise Programme anderer Hersteller genutzt werden. Software Center wurde in früheren Berichten von Forescout und Huntress nicht erwähnt, doch die Übereinstimmung bei Infrastruktur und Angriffsmethode deutet darauf hin, dass die Anwendung wahrscheinlich in dasselbe Toolset aufgenommen wurde.