지멘스, Software Center 취약점을 악용한 윈도우 공격 확인

지멘스는 자사 프로그램 Software Center의 취약점 CVE-2026-110936이 윈도우 컴퓨터 감염에 악용되었다고 공식 발표했습니다. 이 애플리케이션은 구매한 소프트웨어를 내려받고, 설치하고, 활성화하고, 업데이트하는 용도로 쓰이며 제품의 무료 체험판을 실행하는 데에도 사용됩니다.

회사에 따르면 공격자들은 유효한 디지털 서명이 있는 정품 Software Center를 그대로 사용하면서 그 옆에 자체 제작한 악성 DLL 파일을 두었습니다. 프로그램이 실행될 때 자신의 폴더에서 이 라이브러리를 불러와 외부 코드가 실행되는 방식이었습니다. 애플리케이션의 서명은 악성 활동을 가리는 위장 수단으로 작용했습니다. 지멘스는 프로그램 자체는 변경되지 않았으며 감염된 패키지가 회사의 공식 공급 경로로 유통되지 않았다고 강조했습니다.

취약점의 원인은 DLL 파일 위치에 대한 검증이 충분히 엄격하지 않았다는 점입니다. 인증된 접근 권한을 가진 로컬 사용자가 해당 폴더 중 하나에 악성 라이브러리를 넣으면 Software Center와 같은 권한으로 코드를 실행할 수 있었습니다. 이 취약점은 CVSS 4.0 기준 8.4점을 받았습니다.

지멘스는 10월 15일 문제에 대한 설명을 공개했고, 10월 17일 버전 4.0.9.8에서 수정되었다고 밝혔습니다. 이미 설치된 프로그램은 다음 실행 시 자동으로 수정 사항을 받습니다. 실제 공격 사실은 월요일에 별도로 공개되었습니다. 회사 측은 지멘스의 시스템, 제품, 업데이트 경로가 침해된 정황은 없다고 밝혔습니다.

회사는 위협 정보를 법 집행 기관과 EDR 시스템 개발사에 전달하고 있습니다. EDR은 사이버 공격을 탐지하고 대응하는 도구입니다. 공개된 자료에는 침해 지표와 감염 가능성을 보여주는 징후가 포함되어 있습니다.

지멘스는 이번 공격을 ClickFix 방식으로 악성코드를 유포하는 다목적 플랫폼 Romulus와 연결짓고 있습니다. 이러한 캠페인에서는 가짜 CAPTCHA 확인이나 그럴듯한 안내를 보여주어 사용자가 직접 악성 명령을 복사해 실행하도록 유도합니다. 앞서 Forescout 전문가들은 여러 서버에서 Romulus를 발견했으며, 그중에는 지멘스의 위조 구성요소가 담긴 패키지를 배포하던 서버도 있었습니다. 이 플랫폼을 통해 악성 프로그램 LegionLoader와, 정상 애플리케이션 Stardock을 이용해 DLL 사이드로딩 방식으로 악성 코드를 불러오는 변조된 설치 프로그램이 전달되었습니다. Forescout은 Romulus를 누가 운영하는지 밝혀내지 못했습니다. 개인용 도구일 수도, 사이버 범죄자를 위한 상용 서비스일 수도, 제휴 방식의 플랫폼일 수도, 여러 그룹이 복제한 프로그램일 수도 있습니다.

9월 말 Huntress는 유사한 캠페인을 소개했습니다. 사용자들은 ChatGPT의 가짜 맞춤형 GPT를 통해 ClickFix 페이지로 유인되었고, 이후 서명된 Canon과 Stardock 프로그램이 최종적으로 원격 접속 트로이 목마를 설치하는 코드를 불러오는 데 사용되었습니다. Huntress는 관련 사건을 최소 40건 확인했으며, 다른 제조사의 프로그램도 같은 방식으로 악용될 수 있다고 추정했습니다. Software Center는 Forescout과 Huntress의 이전 보고서에는 언급되지 않았지만, 인프라와 공격 방식이 일치하는 점으로 볼 때 이 애플리케이션이 같은 도구 세트에 포함되었을 가능성이 있습니다.