ClickFix Kötü Amaçlı Yazılım Saldırılarında Siemens Yazılım Merkezi Kusurunu Aktif Olarak Kullanan Bilgisayar Korsanları

Bilgisayar korsanları, güvenilir ve imzalı bir uygulama aracılığıyla kötü amaçlı yazılımları çalıştırmak için Siemens Yazılım Merkezi'ndeki bir DLL yan yükleme kusurundan yararlanıyor. CVE -2026 -110936 olarak takip edilen zayıflık, 4.0.9.8 'den önceki sürümleri etkiliyor. Siemens, aktif kullanımı onayladı ve bir düzeltme yayınladı ve mevcut kurulumlar, uygulama bir dahaki sefere başladığında güncellemeyi alacak. Siemens, 15 Ekim'de güvenlik danışmanlığı SSA -580366 'yı yayınladı ve 19 Ekim'de aktif kullanıma atıfta bulundu. Şirketin kampanya detaylarına göre, saldırganlar resmi kanalların dışında kötü amaçlı dosyaların yanı sıra orijinal bir Siemens yürütülebilir dosyası da dağıttı. Siemens, sistemlerini, ürünlerini veya güncelleme kanalını içeren herhangi bir ihlalden habersiz olduğunu söyledi. Saldırganlar, kötü amaçlı yazılımlarını teslim etmek için Siemens Yazılım Merkezi'nin 3.5.8.7 sürümünü kullandılar. Yürütülebilir dosya geçerli dijital imzasını korudu ve değiştirilmedi. Bunun yerine, saldırganlar bunun yanına kötü amaçlı DLL dosyaları yerleştirerek, savunmasız uygulamanın destekleyici kütüphaneleri nasıl aradığını istismar etti. Siemens Yazılım Merkezi Kusurlarından Sömürüldü

Siemens'e göre, DLL yan yüklemesi, bir uygulama uygun bir doğrulama olmadan klasöründen güvenilmeyen bir kitaplık yüklediğinde meydana gelir ve kontrolsüz bir arama yolu nedeniyle kötü amaçlı kodun uygulamanın ayrıcalıklarıyla yürütülmesine izin verir. Bu, yürütülebilir dosyanın konumunu ve davranışını önemli kılar. SiemensSoftwareCenter.exe dosyasındaki geçerli bir imza, komşu DLL'lerin güvenli olduğunu göstermez. Yalnızca gerçek yürütülebilir dosyanın parmak izini kontrol eden savunucular, bulaşmadan sorumlu dosyaları gözden kaçırabilir. Etkinlik, Romulus çoklu platform ClickFix kampanyasıyla bağlantılıdır. ClickFix, sahte doğrulama veya onarım istemleri aracılığıyla kullanıcıları komut çalıştırmaları için kandırır. ROMULUS ClickFix platformundaki önceki raporlarda, gizli PowerShell komut dosyaları, değiştirilmiş yükleyiciler ve meşru yazılımlar aracılığıyla yüklenen kötü amaçlı kütüphaneler açıklanmıştı.