ClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan
The Hacker News · 20 oct, 09:11
Siemens ha parcheado una vulnerabilidad de carga lateral de DLL (CVE-2026-110936, CVSS 8.4) en Siemens Software Center que ya ha sido explotada por atacantes de ClickFix. Los actores de amenazas han utilizado una copia legítima y firmada de la aplicación colocando un DLL malicioso junto a ella para ejecutar código arbitrario, incluyendo troyan de acceso remoto a través de la plataforma Romulus.
La vulnerabilidad afecta a Siemens Software Center versión 3.5.8.7 y anteriores, donde la aplicación cargaba archivos auxiliares desde su propia carpeta sin validarlos. Los atacantes han aprovechado esto combinando técnicas: lanzan el archivo "AllMyBasic.msi" mediante msiexec.exe, que ejecuta "SiemensSoftwareCenter.exe" y carga el DLL malicioso "archive.dll" colocado en el mismo directorio.
Según Huntress, algunas campañas han utilizado Custom GPTs de ChatGPT falsificadas para dirigir a las víctimas a lures de ClickFix que, al ejecutarlos, lanzan código PowerShell para descargar el instalador MSI. La actividad se atribuye a Romulus, una plataforma de entrega de ClickFix utilizada previamente para distribuir Legion Loader y otro malware. Se han identificado direcciones IP y dominios asociados al C&C y a la distribución de archivos maliciosos.
Puntos clave
- CVE-2026-110936 (CVSS 8.4) en Siemens Software Center versión 3.5.8.7 y anteriores
- Parcheado en versión 4.0.9.8 o posterior; reinicia la aplicación para aplicar la actualización
- Bloquea las IPs 96.62.218.59 y 2.27.248.127 y el dominio wizardexpensive.com
- Busca procesos "SiemensSoftwareCenter.exe" lanzados desde "AppData\Local\Programs" por "msiexec.exe"