Grupările ClickFix deturnează un instalator Siemens semnat pentru a livra un troian de acces de la distanță

O aplicație de încredere, semnată digital, a devenit cel mai nou mijloc de livrare pentru campaniile ClickFix. Siemens a lansat o remediere pentru o vulnerabilitate de tip DLL sideloading în Siemens Software Center, identificată ca CVE-2026-110936 (CVSS v4: 8.4). Potrivit Siemens, atacatorii au folosit-o deja pentru a rula cod malițios pe calculatoarele victimelor.

Ce s-a întâmplat

Aplicația încarcă biblioteci (DLL-uri) dintr-o cale de căutare care nu este controlată corespunzător. Dacă un atacator care are deja acces local plasează un DLL modificat într-unul dintre folderele verificate de program, acel cod rulează cu aceleași privilegii ca aplicația. Siemens a corectat problema în versiunea 4.0.9.8 și l-a creditat pe Jose Oregon, cercetător la Huntress Labs, pentru raportarea ei.

În campaniile observate până acum, atacatorii nu au avut nevoie de nimic sofisticat. Au folosit o copie autentică, semnată valid, a Siemens Software Center (versiunea 3.5.8.7), care încărca fișiere auxiliare din propriul folder fără să le verifice. Lângă ea au plasat un fișier malițios archive.dll. Pentru că executabilul este semnat și de încredere, el oferă acoperire încărcăturii malițioase.

Lanțul de infectare:

Victima este atrasă de un mesaj ClickFix, care o îndeamnă să copieze și să ruleze o comandă „pentru a repara” ceva. În unele campanii, momeala a venit prin GPT-uri personalizate ChatGPT malițioase, care trimiteau utilizatorii către un URL fals.
Comanda lipită rulează PowerShell, care descarcă un instalator MSI.
msiexec.exe rulează AllMyBasic.msi, care pornește SiemensSoftwareCenter.exe.
Executabilul semnat încarcă DLL-ul malițios, care instalează apoi un troian de acces de la distanță (RAT).

Activitatea a fost asociată cu o platformă de livrare ClickFix cunoscută sub numele Romulus, legată anterior de distribuirea Legion Loader și a altor programe malware prin DLL sideloading.

De ce contează

Încrederea devine armă. Un executabil semnat, de la un producător cunoscut, are mult mai puține șanse să alarmeze utilizatorii sau regulile de tip application allowlisting.
Utilizatorul pornește atacul. ClickFix ocolește multe controale de perimetru pentru că victima rulează singură comanda, iar folosirea chatbot-urilor AI ca momeală o face să pară mai legitimă.
Versiunile vechi rămân utile atacatorilor. Actualizarea propriilor instalări nu împiedică pe cineva să aducă pe un sistem o copie semnată mai veche și vulnerabilă. Detecția rămâne importantă și după update.

Ce trebuie făcut

Actualizați Siemens Software Center la versiunea 4.0.9.8 sau mai nouă, apoi porniți aplicația pentru ca actualizarea să fie aplicată.
Blocați indicatorii publicați la nivel de proxy, DNS și firewall:
- 96.62.218[.]59: găzduire payload și command-and-control
- wizardexpensive[.]com: găzduire payload și command-and-control
- 2.27.248[.]127: distribuirea AllMyBasic.msi
Căutați activ procese SiemensSoftwareCenter.exe care rulează din AppData\Local\Programs și sunt pornite de msiexec.exe, precum și DLL-uri neașteptate (de exemplu archive.dll) aflate lângă executabile semnate, în foldere în care utilizatorul poate scrie.
Reduceți expunerea la ClickFix: instruiți angajații că niciun site sau chatbot legitim nu le va cere să lipească comenzi în Run, PowerShell sau terminal. Unde este posibil, restricționați PowerShell și dialogul Win+R pentru utilizatorii standard.
Monitorizați abuzul de executabile semnate cu reguli EDR care semnalează executabile de încredere ce încarcă DLL-uri nesemnate din foldere în care utilizatorul poate scrie.

Software-ul învechit și vulnerabil de pe stații și servere este exact ce caută scanarea continuă a vulnerabilităților. Echipa noastră o folosește pentru a semnala versiuni precum Siemens Software Center anterior 4.0.9.8, înainte ca atacatorii să le poată folosi împotriva dumneavoastră.

Sursa: subiectul a fost relatat inițial de The Hacker News (20 oct. 2026). Acest articol este rezumatul și analiza independentă a 4Tify.