シーメンス、Software Centerの脆弱性を悪用したWindowsへの攻撃を確認

シーメンスは、Software Centerの脆弱性CVE-2026-110936がWindows搭載コンピューターの感染に悪用されたと正式に発表しました。このアプリケーションは、購入したソフトウェアのダウンロード、インストール、アクティベーション、更新に加え、製品の無料試用版の起動にも使われます。

同社によると、攻撃者は有効なデジタル署名を持つ正規のSoftware Centerをそのまま利用し、その隣に自作の悪意あるDLLファイルを配置していました。起動時にプログラムが自身のフォルダーからこれらのライブラリを読み込むため、第三者のコードが実行される仕組みでした。アプリケーションの署名は、不正な活動を隠すための偽装として機能していました。シーメンスは、プログラム自体は改変されておらず、感染したパッケージが同社の正規の配布経路で流通した事実はないと強調しています。

脆弱性の原因は、DLLファイルの場所に対する検証が不十分だったことです。認証済みのアクセス権を持つローカルユーザーが、該当するフォルダーの一つに悪意あるライブラリを置くことで、Software Centerと同じ権限でコードを実行できました。この脆弱性にはCVSS 4.0で8.4のスコアが付けられています。

シーメンスは10月15日に問題の説明を公開し、10月17日にバージョン4.0.9.8で修正されたことを明らかにしました。すでにインストールされているプログラムは、次回の起動時に自動で修正を受け取ります。実際の攻撃の事実については、月曜日に別途公表されました。同社によれば、シーメンスのシステム、製品、更新経路が侵害された事実は確認されていません。

同社は、脅威に関する情報を法執行機関およびEDR製品の開発事業者に提供しています。EDRとは、サイバー攻撃の検知と対応のための仕組みです。公開された資料には、侵害の痕跡を示す指標と、感染の可能性を示す兆候が記載されています。

シーメンスは、この攻撃をClickFix手法でマルウェアを拡散する多目的プラットフォームRomulusと関連付けています。この種のキャンペーンでは、偽のCAPTCHA確認やもっともらしい指示を表示し、ユーザー自身に悪意あるコマンドをコピーして実行させます。以前、Forescoutの専門家はRomulusを複数のサーバー上で発見しており、その中には偽のシーメンス製コンポーネントを含むパッケージを配布していたサーバーもありました。このプラットフォームを通じて、マルウェアLegionLoaderと、正規アプリケーションStardockを利用してDLLサイドローディングで悪意あるコードを読み込む改変版インストーラーが配布されていました。Forescoutは、Romulusの運営者を特定できていません。個人用のツール、サイバー犯罪者向けの商用サービス、アフィリエイト型のプラットフォーム、あるいは複数のグループが複製したプログラムの可能性があります。

9月下旬、Huntressは類似のキャンペーンを報告しました。ユーザーはChatGPT内の偽のカスタムGPTを経由してClickFixのページに誘導され、その後、署名付きのCanonやStardockのプログラムが、最終的にリモートアクセス型トロイの木馬をインストールするコードの読み込みに使われました。Huntressは関連するインシデントを少なくとも40件確認し、他社製のプログラムも同様に悪用される可能性があると指摘しています。Software Centerは、ForescoutとHuntressの以前の報告には登場していませんでしたが、インフラと攻撃手法が一致していることから、このアプリケーションが同じツールセットに加えられた可能性が高いとみられます。