Hãng công nghệ Siemens vừa thông báo về việc các tin tặc đã khai thác một lỗ hổng bảo mật trong công cụ Siemens Software Center nhằm phục vụ chiến dịch phát tán mã độc. Ứng dụng này đóng vai trò hỗ trợ người dùng tải về, cài đặt, kích hoạt và cập nhật các phần mềm bản quyền cũng như khởi tạo các phiên bản dùng thử của Siemens.
Lỗ hổng mang định danh CVE-2026-110936, được ấn định mức điểm CVSS v4 là 8.4. Lỗi bảo mật này bắt nguồn từ việc chương trình không kiểm soát chặt chẽ các vị trí tìm kiếm tệp thư viện liên kết động (DLL). Một tác nhân đe dọa cục bộ đã được xác thực có thể lợi dụng điều này để đặt tệp DLL độc hại vào các thư mục liên quan, qua đó thực thi mã với cùng quyền hạn hoạt động của Siemens Software Center.
Siemens đã công bố cảnh báo vào ngày 15 tháng 10 và cập nhật hai ngày sau đó nhằm thông báo tới khách hàng rằng phiên bản 4.0.9.8 đã khắc phục hoàn toàn sự cố. Người dùng đã cài đặt ứng dụng sẽ tự động nhận bản vá trong lần khởi động tiếp theo. Cho đến thứ Hai, hãng mới chính thức bổ sung thông tin xác nhận việc lỗ hổng này đang bị khai thác trong các cuộc tấn công thực tế.
Trong các chiến dịch ghi nhận được, kẻ tấn công đã ghép nối một bản sao hợp pháp mang chữ ký số hợp lệ của Siemens Software Center với các tệp DLL độc hại do chúng tự chuẩn bị. Khi khởi chạy, chương trình tự động nạp các tệp độc hại nằm cùng thư mục. Siemens lưu ý rằng phiên bản 3.5.8.7 – phiên bản mới nhất tại thời điểm đó – không có cơ chế xác thực các tệp phụ trợ này trước khi kích hoạt. Doanh nghiệp khẳng định phần mềm của mình không bị can thiệp mã nguồn, tệp độc hại không được phát tán từ hạ tầng của hãng và không có hệ thống, sản phẩm hay kênh cập nhật nào của Siemens bị xâm phạm.
Chuyên gia Jose Oregon từ tổ chức an ninh mạng Huntress được ghi nhận là người phát hiện và báo cáo lỗ hổng. Hiện Siemens đang phối hợp chia sẻ dữ liệu đe dọa và các chỉ số xâm phạm (IoCs) với cơ quan chức năng và các đơn vị cung cấp giải pháp EDR. Vì tệp thực thi của Siemens trong cuộc tấn công là tệp hợp lệ, các chuyên gia khuyến cáo bộ phận phòng thủ nên giám sát các hành vi đáng ngờ và các thư mục liên quan thay vì chỉ dựa vào mã băm của tệp tin.
Siemens liên kết hoạt động tấn công này với Romulus, một chiến dịch phân phối mã độc ClickFix đa nền tảng. Kỹ thuật ClickFix sử dụng các thông báo giả mạo, chẳng hạn như xác thực CAPTCHA giả, nhằm điều hướng người dùng tự sao chép và kích hoạt các dòng lệnh độc hại trên máy tính của họ.
Tuần trước, công ty Forescout đã công bố báo cáo về Romulus và ghi nhận nền tảng này phát tán nhiều loại tải trọng độc hại, bao gồm mã độc LegionLoader cũng như gói cài đặt chứa trojan lạm dụng ứng dụng hợp lệ của Stardock để nạp DLL độc hại (DLL side-loading). Forescout cũng xác định một số máy chủ của Romulus trùng khớp với máy chủ phân phối gói mã độc chứa phần mềm của Siemens. Hiện danh tính những kẻ vận hành Romulus vẫn chưa được xác định, với khả năng đây là công cụ nội bộ, một dịch vụ ngầm cho thuê, chương trình liên kết hoặc phần mềm được nhiều nhóm tội phạm mạng chia sẻ.
Trước đó, vào cuối tháng 9, Huntress từng phát hiện gói tấn công liên quan tới Stardock trong chiến dịch sử dụng các GPT tùy chỉnh độc hại trên ChatGPT để dụ người dùng tới trang ClickFix. Trong chiến dịch này, các chương trình có chữ ký số của Canon và sau đó là Stardock đã bị lạm dụng để triển khai mã độc điều khiển từ xa (RAT). Huntress đã tham gia xử lý ít nhất 40 sự cố liên quan và nhận định nhiều phần mềm có chữ ký số của các nhà cung cấp khác cũng có thể đang bị lợi dụng theo phương thức tương tự.
