CVE-2026-110936 西门子软件中心DLL侧加载攻击

资讯专家

概述
西门子披露，威胁行为者利用 Siemens Software Center 漏洞发起恶意软件活动。该漏洞编号为 CVE-2026-110936，原因是程序未正确限制 DLL 文件搜索路径，已认证的本地攻击者可将恶意 DLL 放入相关目录，并以 Software Center 权限执行代码。西门子于10月15日发布公告，CVSS v4 评分为 8.4；两天后更新公告称 4.0.9.8 版本已修复该问题，已安装用户下次启动程序时会自动获取修复。公告最初未提及在野利用，周一补充了在野攻击信息并链接到相关博客。

攻击方式
攻击者将带有有效数字签名的合法 Siemens Software Center 与恶意 DLL 文件一起打包。程序启动时，会从自身目录加载攻击者提供的文件。西门子指出，当时最新版本 3.5.8.7 未在加载前验证这些辅助文件。公司强调，西门子软件未被篡改，恶意包也未通过西门子分发渠道传播；据其了解，没有西门子系统、产品或更新通道遭到入侵。西门子正与有关当局和 EDR 厂商共享威胁情报，博客中列出了 IoC 和感染迹象。由于攻击使用的是合法西门子文件，建议防守方不要只依赖文件哈希，而应关注可疑行为和相关目录。

与 Romulus 和 ClickFix 的关联
西门子将攻击关联到 Romulus，这是一个多平台 ClickFix 活动。ClickFix 通过伪造 CAPTCHA 等提示，诱导用户在自己的设备上粘贴并执行恶意命令。Forescout 上周发布了对 Romulus 的研究，称其是 ClickFix 投递平台，可分多种恶意载荷，并在多个服务器上发现该平台运行，其中包括西门子认定的恶意包分发服务器。Forescout 还观察到该平台投递 LegionLoader，以及利用合法 Stardock 应用进行 DLL 侧加载的木马化安装包。研究人员无法确定 Romulus 的运营者，认为它可能是私有工具、出售给网络犯罪分子的服务、联盟项目，或被不同威胁行为者复制的软件。

Huntress 在9月底的报告中描述过同一基于 Stardock 的包，涉及利用恶意 ChatGPT Custom GPTs 将用户引向 ClickFix 页面。这些攻击滥用了 Canon 及后来 Stardock 的签名程序进行侧加载，最终部署 RAT。Huntress 响应了至少40起与该活动相关的事件，并认为其他厂商的签名程序也可能被滥用。Siemens Software Center 未出现在 Huntress 或 Forescout 的报告中，但基础设施重叠和相似的侧加载手法表明，西门子程序可能已被加入同一工具集。

处置建议
将 Siemens Software Center 升级至 4.0.9.8，或让已安装实例在下次启动时自动更新。排查与恶意包相关的目录，并结合西门子博客列出的 IoC 和感染迹象进行检测。EDR 侧可重点检测合法签名程序从自身目录加载异常 DLL 的行为。该漏洞由 Huntress 研究员 Jose Oregon 报告给西门子。