Mi történt
A Siemens október 19-én biztonsági közleményt adott ki egy súlyos hibáról a Software Center nevű alkalmazásában. A sebezhetőséget (CVE-2026-110936, CVSS 8,4) a gyártó már javította a 4.0.9.8-as verzióban, de a jelentés szerint a hibát élesben már kihasználták, mielőtt a javítás megjelent volna.
A hiba technikai neve DLL sideloading: a program nem ellenőrzi megfelelően, honnan tölti be a kiegészítő könyvtárfájljait (DLL-eket). Ha egy támadó el tudja helyezni a saját, kártékony DLL-jét ott, ahol a program keresi, a kódja a program jogosultságával fut le. A gond az, hogy a program maga valódi, érvényesen aláírt Siemens szoftver, tehát a végpontvédelem és a felhasználó szeme számára megbízhatónak tűnik.
A támadás lépései
A kutatók (Huntress, Forescout) egy ClickFix nevű social engineering technikával kombinálva látták a hibát a gyakorlatban:
- Az áldozat egy hamis weboldalra vagy linkre kerül, egyes esetekben egy rosszindulatú, kamu ChatGPT Custom GPT-n keresztül.
- A lap arra kéri, hogy másoljon be és futtasson egy parancsot ("ClickFix" lépés) – ez valójában egy PowerShell parancs.
- A PowerShell egy MSI telepítőt ("AllMyBasic.msi") dob le és futtat.
- Az MSI elindítja a valódi, aláírt
SiemensSoftwareCenter.exe-t. - A program a saját mappájából betölt egy kártékony
archive.dll-t, mert nem ellenőrzi, honnan jön. - A kártékony kód lefut, és egy távoli hozzáférést adó trójait (RAT) telepít.
A kampányt a Romulus nevű ClickFix-alapú terjesztő platformhoz kötik, amelyről egy héttel korábban a Forescout már jelentett más, hasonló DLL sideloading-alapú kártevő-terjesztést (Legion Loader).
Miért érint ez téged, ha ipari vagy gyártó környezetben dolgozol
Két dolog miatt fontosabb ez, mint egy átlagos Windows-sérülékenység:
Elsőként, a Siemens Software Center tipikusan ipari/gyártó környezetben van telepítve – PLC-programozó, mérnöki munkaállomás, karbantartó laptop. Ezek a gépek gyakran kevesebb felügyelet alatt állnak, mint az irodai végpontok, és sokszor szélesebb hozzáférésük van az OT-hálózat felé.
Másodsorban, a valódi aláírás átmegy a legtöbb ellenőrzésen. Az alkalmazás-engedélyezési lista (application allowlisting), amire sok OT-környezet épít ("csak aláírt program futhat"), itt nem segít, mert a futó bináris tényleg Siemens-aláírású. Ez pontosan az a minta, amitől a lapos, szegmentálás nélküli ipari hálózat veszélyes: egy mérnöki gép kompromittálása után a támadó onnan ugrik tovább a PLC-k és a SCADA-rendszerek felé.
A social engineering oldala (ClickFix) sem véletlen: a kampány azokra épít, akik rendszeresen telepítenek vagy frissítenek mérnöki szoftvert, és megszokták, hogy parancssori lépéseket futtatnak telepítés közben.
Mit kell tenni
1. Frissíts azonnal
A Siemens Software Center 4.0.9.8 vagy újabb verzió javítja a hibát. A frissítés után indítsd el az alkalmazást, hogy a javítás tényleg lefusson.
2. Blokkold az ismert indikátorokat
A Siemens a következő IP-ket és domaint közölte kártevő-elérésként és C2-ként:
96.62.218.59wizardexpensive.com2.27.248.127(az "AllMyBasic.msi" terjesztési pontja)
3. Keress rá a konkrét mintára
Nézd át az eseménynaplókat olyan esetre, amikor a SiemensSoftwareCenter.exe az AppData\Local\Programs mappából futott, és az msiexec.exe indította el. Ez a kombináció erős jele a kompromittálódásnak.
4. A social engineering oldalt is kezeld
Oktasd a mérnöki és karbantartó kollégákat, hogy a "másold be ezt a parancsot a hiba javításához" típusú utasítás – akár egy weboldalról, akár egy chatbot válaszából – mindig gyanús, függetlenül attól, hogy mennyire hivatalosnak tűnik a forrás. A ClickFix pontosan erre a megszokásra épít.
Amit ebből érdemes tanulni
Az aláírt, megbízható szoftver nem jelent automatikus védelmet, ha az adott program saját kiegészítő fájljait ellenőrzés nélkül tölti be. Ez a minta nem Siemens-specifikus, hasonló DLL sideloading hibát rendszeresen találnak más gyártói eszközökben is.
Ipari környezetben a kérdés ugyanaz, mint minden mérnöki munkaállomásnál: ha ez a gép kompromittálódik, meddig jut el a támadó? Ha a mérnöki hálózat nincs elválasztva a gyártási rendszerektől, a válasz "egészen a PLC-kig".
Segítek átnézni. Az ipari hálózat hibaelhárítás és IT/OT szétválasztás szolgáltatás pont ezt a kérdést válaszolja meg: hol válik el (vagy nem válik el) az irodai/mérnöki és a gyártási hálózat, és mit jelent ez egy ilyen incidensnél.
Forrás: Siemens biztonsági közlemény (2026. október 19.), The Hacker News (2026. október 20.), Huntress Labs, Forescout.