Siemens confirme des attaques contre Windows via une faille de Software Center
Siemens a annoncé officiellement que la faille CVE-2026-110936 du programme Software Center avait été exploitée pour infecter des ordinateurs fonctionnant sous Windows. L’application sert à télécharger, installer, activer et mettre à jour les logiciels achetés, ainsi qu’à lancer des versions d’essai gratuites des produits.
Selon l’entreprise, les attaquants utilisaient une copie authentique de Software Center dotée d’une signature numérique valide et plaçaient à côté leurs propres fichiers DLL malveillants. Au démarrage, le programme chargeait ces bibliothèques depuis son dossier, ce qui permettait l’exécution d’un code étranger. La signature de l’application servait ainsi de couverture à l’activité malveillante. Siemens a souligné que le programme lui-même n’avait pas été modifié et que le paquet infecté n’avait pas été diffusé par ses canaux de distribution officiels.
L’origine de la faille était un contrôle insuffisamment strict de l’emplacement des fichiers DLL. Un utilisateur local disposant de droits d’accès authentifiés pouvait déposer une bibliothèque malveillante dans l’un des dossiers concernés et obtenir l’exécution du code avec les mêmes privilèges que Software Center. La faille a reçu un score de 8,4 sur l’échelle CVSS 4.0.
Siemens a publié la description du problème le 15 octobre, puis a annoncé le 17 octobre sa correction dans la version 4.0.9.8. Le programme déjà installé reçoit le correctif automatiquement lors de son prochain lancement. Les cas d’attaques réelles ont été révélés séparément lundi. Selon l’entreprise, aucun système, produit ni canal de mise à jour de Siemens n’a été compromis.
L’entreprise transmet les informations sur la menace aux forces de l’ordre et aux éditeurs de systèmes EDR, c’est-à-dire des outils de détection des cyberattaques et de réponse à celles-ci. Les documents publiés contiennent des indicateurs de compromission et des signes d’une possible infection.
Siemens relie les attaques à la plateforme Romulus, utilisée pour diffuser des logiciels malveillants par la méthode ClickFix. Dans ce type de campagnes, les utilisateurs voient de fausses vérifications CAPTCHA ou d’autres instructions plausibles qui les poussent à copier et à exécuter eux-mêmes des commandes malveillantes. Auparavant, les spécialistes de Forescout avaient détecté Romulus sur plusieurs serveurs, dont l’un distribuait un paquet contenant de faux composants Siemens. La plateforme livrait le logiciel malveillant LegionLoader ainsi qu’un installateur modifié, qui utilisait l’application légitime Stardock pour charger du code malveillant par DLL side-loading. Forescout n’a pas réussi à établir qui contrôle Romulus : il pourrait s’agir d’un outil privé, d’un service commercial destiné aux cybercriminels, d’une plateforme d’affiliation ou d’un programme copié par plusieurs groupes.
Fin septembre, Huntress a décrit une campagne similaire : les utilisateurs étaient attirés vers des pages ClickFix par de faux GPT personnalisés dans ChatGPT, puis des programmes signés de Canon et de Stardock servaient à charger un code qui installait finalement un cheval de Troie d’accès à distance. Huntress a recensé au moins 40 incidents liés et estimé que des programmes d’autres éditeurs pouvaient être utilisés de la même manière. Software Center n’était pas mentionné dans les rapports précédents de Forescout et de Huntress, mais la concordance de l’infrastructure et de la méthode d’attaque laisse penser que l’application a probablement été ajoutée au même ensemble d’outils.