Una nuova campagna di attacchi informatici legata al modello ClickFix ha sfruttato una vulnerabilità nel Siemens Software Center per eseguire codice malevolo e distribuire un remote access trojan. Il problema riguarda una tecnica nota come DLL sideloading, in cui un programma legittimo carica una libreria dinamica da un percorso di ricerca non controllato.
In pratica un attaccante può posizionare una DLL appositamente preparata in una cartella che l’applicazione controlla, facendo eseguire il payload con gli stessi privilegi del servizio colpito.
La falla è stata tracciata come CVE 2026 110936 con severità elevata e punteggio CVSS 8.4. Siemens ha rilasciato una correzione e ha indicato che l’aggiornamento risolve il caricamento non sicuro delle librerie. La versione corretta è Siemens Software Center 4.0.9.8. Per rendere effettiva la patch è importante anche avviare l’applicazione dopo l’aggiornamento, così da applicare i componenti aggiornati.
Gli aggressori hanno scelto Siemens Software Center come vettore perché è firmato digitalmente e quindi considerato affidabile da molte soluzioni di sicurezza endpoint. Inoltre una versione precedente caricava file di supporto dalla propria cartella senza controlli adeguati. In uno scenario osservato, i criminali hanno utilizzato una copia autentica del programma e hanno affiancato una DLL malevola denominata archive.dll nella stessa directory, innescando l’esecuzione del codice.
La catena di esecuzione descritta include l’uso di msiexec.exe per lanciare un pacchetto MSI chiamato AllMyBasic.msi che a sua volta avvia SiemensSoftwareCenter.exe. Questa attività è stata collegata a una piattaforma di delivery ClickFix chiamata Romulus, già associata alla distribuzione di malware come loader e altri payload tramite DLL sideloading. Alcune varianti della campagna hanno anche sfruttato esche che spingono la vittima a copiare ed eseguire comandi, facendo partire PowerShell che scarica e installa un MSI e porta infine al trojan di accesso remoto.
Per la difesa, oltre all’aggiornamento alla versione 4.0.9.8 o superiore, è consigliato bloccare indicatori di compromissione noti come 96.62.218.59, 2.27.248.127 e il dominio wizardexpensive.com. A livello di hunting interno conviene verificare se SiemensSoftwareCenter.exe viene eseguito da AppData Local Programs e se il processo è stato avviato da msiexec.exe, un segnale utile per individuare installazioni sospette.