Siemens confirma ataques ao Windows por meio de vulnerabilidade no Software Center
A Siemens informou oficialmente que a vulnerabilidade CVE-2026-110936 no programa Software Center foi explorada para infectar computadores com sistema operacional Windows. O aplicativo serve para baixar, instalar, ativar e atualizar os softwares adquiridos, além de iniciar versões de teste gratuitas dos produtos.
De acordo com a empresa, os invasores usavam uma cópia autêntica do Software Center com assinatura digital válida e colocavam ao lado dela arquivos DLL maliciosos de sua autoria. Ao iniciar, o programa carregava essas bibliotecas da própria pasta, o que permitia a execução de código estranho. A assinatura do aplicativo servia, assim, de disfarce para a atividade maliciosa. A Siemens ressaltou que o programa em si não foi alterado e que o pacote infectado não foi distribuído pelos canais oficiais de fornecimento da empresa.
A causa da vulnerabilidade foi uma verificação insuficientemente rigorosa da localização dos arquivos DLL. Um usuário local com direitos de acesso autenticado podia colocar uma biblioteca maliciosa em uma das pastas apropriadas e conseguir executar código com os mesmos privilégios do Software Center. A vulnerabilidade recebeu a pontuação de 8,4 na escala CVSS 4.0.
A Siemens publicou a descrição do problema em 15 de outubro e, em 17 de outubro, comunicou a correção na versão 4.0.9.8. O programa já instalado recebe a correção automaticamente na próxima inicialização. Os casos de ataques reais foram divulgados separadamente na segunda-feira. Segundo a empresa, não há registro de comprometimento de sistemas, produtos ou canais de atualização da Siemens.
A empresa repassa as informações sobre a ameaça a autoridades policiais e a desenvolvedores de sistemas EDR, ou seja, ferramentas de detecção e resposta a ataques cibernéticos. Os materiais publicados trazem indicadores de comprometimento e sinais de possível infecção.
A Siemens associa os ataques à plataforma Romulus, usada para distribuir software malicioso pelo método ClickFix. Nessas campanhas, os usuários veem falsas verificações de CAPTCHA ou outras instruções plausíveis que os levam a copiar e executar por conta própria comandos maliciosos. Anteriormente, especialistas da Forescout detectaram o Romulus em vários servidores, inclusive em um que distribuía um pacote com componentes falsos da Siemens. A plataforma entregava o programa malicioso LegionLoader e um instalador modificado, que usava o aplicativo legítimo Stardock para carregar código malicioso pelo método DLL side-loading. A Forescout não conseguiu estabelecer quem controla o Romulus: pode ser uma ferramenta privada, um serviço comercial para cibercriminosos, uma plataforma de afiliados ou um programa copiado por vários grupos.
No fim de setembro, a Huntress descreveu uma campanha semelhante: os usuários eram atraídos para páginas ClickFix por meio de GPTs personalizados falsos no ChatGPT e, em seguida, programas assinados da Canon e da Stardock eram usados para carregar um código que, no fim, instalava um trojan de acesso remoto. A Huntress registrou pelo menos 40 incidentes relacionados e admitiu que programas de outros fabricantes podem ser usados de forma análoga. O Software Center não era mencionado nos relatórios anteriores da Forescout e da Huntress, mas a coincidência de infraestrutura e de método de ataque indica a provável inclusão do aplicativo no mesmo conjunto de ferramentas.