Kẻ tấn công khai thác lỗ hổng Siemens Software Center để cài Trojan truy cập từ xa
"Siemens addressed a DLL sideloading vulnerability (CVE-2026-110936, CVSS v4 score: 8.4) in Siemens Software Center that was exploited in ClickFix attacks. Attackers used a signed, legitimate copy of the software to execute malicious code via a crafted DLL. Mitigation involves updating to version 4.0.9.8 or later and blocking associated IOCs."
Lỗ hổng DLL sideloading cho phép thực thi mã độc hại với quyền cao, có thể dẫn đến mất dữ liệu hoặc kiểm soát hệ thống.
Các doanh nghiệp sử dụng Siemens Software Center có thể bị gián đoạn hoạt động do phần mềm độc hại và mất uy tín nếu bị tấn công.
Siemens đã vá lỗ hổng DLL sideloading (CVE-2026-110936, CVSS v4: 8.4) trong Siemens Software Center, lỗ hổng này đã bị khai thác trong các cuộc tấn công ClickFix. Kẻ tấn công sử dụng bản sao hợp lệ, đã ký của phần mềm để thực thi mã độc hại thông qua một DLL được tạo thủ công.
Lỗ hổng cho phép kẻ tấn công đặt một DLL tùy chỉnh vào thư mục mà ứng dụng tìm kiếm, từ đó thực thi mã độc hại với quyền của dịch vụ bị ảnh hưởng. Siemens khuyến cáo người dùng cập nhật lên phiên bản 4.0.9.8 trở lên và chặn các IOC liên quan.
Theo Siemens, kẻ tấn công đã lợi dụng bản sao hợp lệ của Siemens Software Center để đặt DLL độc hại ("archive.dll") cạnh nó, kích hoạt thực thi mã độc. Họ chọn chương trình này vì nó đã được ký và tin cậy, và phiên bản 3.5.8.7 (phiên bản mới nhất tại thời điểm đó) tải các tệp trợ giúp từ thư mục của chính nó mà không kiểm tra chúng.
Các tác nhân đe dọa sử dụng "msiexec.exe" để khởi chạy "AllMyBasic.msi", sau đó thực thi "SiemensSoftwareCenter.exe". Hoạt động này liên quan đến nền tảng phân phối ClickFix có tên Romulus, được Forescout mô tả là sử dụng DLL sideloading để phân phối Legion Loader và các phần mềm độc hại khác. Huntress Labs cũng phát hiện một số chiến dịch sử dụng ChatGPT Custom GPTs độc hại để dẫn nạn nhân đến một URL giả mạo, thực thi PowerShell để cài đặt MSI và cuối cùng triển khai Trojan truy cập từ xa.
Siemens cung cấp các chỉ số xâm nhập (IOC) sau:
96.62.218[.]59 (Payloading hosting và command-and-control) wizardexpensive[.]com (Payloading hosting và command-and-control) * 2.27.248[.]127 (Kênh phân phối AllMyBasic.msi)
Ngoài việc cập nhật, các tổ chức nên chặn các địa chỉ IP và tên miền liên quan, đồng thời kiểm tra "SiemensSoftwareCenter.exe" chạy từ "AppData\Local\Programs" và được khởi chạy bởi "msiexec.exe".
Câu hỏi thường gặp
CVE-2026-110936 là gì?
CVE-2026-110936 là một lỗ hổng DLL sideloading trong Siemens Software Center, cho phép kẻ tấn công thực thi mã độc hại với quyền của ứng dụng.
Phiên bản nào của Siemens Software Center bị ảnh hưởng?
Các phiên bản trước phiên bản 4.0.9.8 của Siemens Software Center bị ảnh hưởng bởi lỗ hổng này. Siemens khuyến cáo cập nhật lên phiên bản mới nhất.
ClickFix là gì?
ClickFix là một nền tảng phân phối phần mềm độc hại sử dụng DLL sideloading để phân phối các phần mềm độc hại như Legion Loader.
Các tổ chức nên làm gì để bảo vệ mình?
Các tổ chức nên cập nhật Siemens Software Center lên phiên bản 4.0.9.8 trở lên, chặn các IOC được cung cấp và giám sát các hoạt động đáng ngờ liên quan đến SiemensSoftwareCenter.exe.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Siemens Software Center để quản lý phần mềm. Việc cập nhật lên phiên bản mới nhất là cần thiết để giảm thiểu rủi ro. Các tổ chức nên xem xét tích hợp các IOC được cung cấp vào hệ thống phát hiện xâm nhập (IDS) của họ.