Siemens conferma attacchi a Windows tramite una vulnerabilità in Software Center
Siemens ha comunicato ufficialmente che la vulnerabilità CVE-2026-110936 nel programma Software Center è stata sfruttata per infettare computer con sistema operativo Windows. L’applicazione serve a scaricare, installare, attivare e aggiornare il software acquistato, oltre ad avviare versioni di prova gratuite dei prodotti.
Secondo l’azienda, gli aggressori utilizzavano una copia autentica di Software Center con firma digitale valida, collocando accanto ad essa file DLL dannosi di propria creazione. All’avvio il programma caricava queste librerie dalla propria cartella, consentendo l’esecuzione di codice estraneo. La firma dell’applicazione fungeva così da copertura per l’attività malevola. Siemens ha sottolineato che il programma in sé non è stato modificato e che il pacchetto infetto non è stato distribuito attraverso i canali ufficiali di fornitura.
All’origine della vulnerabilità vi era un controllo insufficientemente rigoroso sulla posizione dei file DLL. Un utente locale con diritti di accesso autenticato poteva inserire una libreria dannosa in una delle cartelle idonee e ottenere l’esecuzione del codice con gli stessi privilegi di Software Center. La vulnerabilità ha ricevuto un punteggio di 8,4 sulla scala CVSS 4.0.
Siemens ha pubblicato la descrizione del problema il 15 ottobre e il 17 ottobre ha comunicato la correzione nella versione 4.0.9.8. Il programma già installato riceve l’aggiornamento automaticamente al successivo avvio. I casi di attacchi reali sono stati resi noti separatamente lunedì. Secondo l’azienda, non risultano compromissioni di sistemi, prodotti o canali di aggiornamento di Siemens.
L’azienda trasmette le informazioni sulla minaccia alle forze dell’ordine e agli sviluppatori di sistemi EDR, cioè strumenti per il rilevamento e la risposta agli attacchi informatici. Nei materiali pubblicati sono riportati gli indicatori di compromissione e i segnali di una possibile infezione.
Siemens collega gli attacchi alla piattaforma Romulus, usata per diffondere malware con il metodo ClickFix. In queste campagne agli utenti vengono mostrati falsi controlli CAPTCHA o altre istruzioni plausibili, inducendoli a copiare ed eseguire da soli comandi dannosi. In precedenza gli specialisti di Forescout avevano individuato Romulus su diversi server, tra cui uno che distribuiva un pacchetto con componenti Siemens contraffatti. Tramite la piattaforma venivano consegnati il malware LegionLoader e un programma di installazione modificato, che sfruttava l’applicazione legittima Stardock per caricare codice dannoso con il metodo DLL side-loading. Forescout non è riuscita a stabilire chi sia dietro Romulus: potrebbe trattarsi di uno strumento privato, di un servizio commerciale per cybercriminali, di una piattaforma di affiliazione o di un programma copiato da più gruppi.
A fine settembre Huntress ha descritto una campagna simile: gli utenti venivano attirati su pagine ClickFix tramite GPT personalizzati falsi in ChatGPT, dopodiché programmi firmati di Canon e Stardock servivano a caricare un codice che alla fine installava un trojan di accesso remoto. Huntress ha registrato almeno 40 incidenti collegati e ha ipotizzato che in modo analogo possano essere usati programmi di altri produttori. Software Center non compariva nei precedenti rapporti di Forescout e Huntress, ma la coincidenza di infrastruttura e metodo d’attacco indica una probabile inclusione dell’applicazione nello stesso set di strumenti.