Siemens Software Center'daki DLL açığı ClickFix saldırılarında kullanılıyor

Siemens, Siemens Software Center uygulamasındaki CVE-2026-110936 numaralı açığın saldırılarda kullanıldığını 19 Ekim’de yayımladığı bir duyuruyla doğruladı. Açık, 15 Ekim’de yayımlanan SSA-580366 numaralı bültenle duyurulmuştu. Siemens 17 Ekim’de bültene düzeltilmiş sürümü ekledi, 19 Ekim’de de istismar duyurusuna bağlantı verdi. Açığı Huntress’ten Jose Oregon bildirdi.

Sorun, programın yardımcı DLL dosyalarını hangi klasörlerden yükleyeceğini yeterince sınırlamaması. Program açıldığında kendi klasöründeki dosyaları kontrol etmeden yüklüyor. O klasöre zararlı bir DLL bırakabilen biri, kendi kodunu programın yetkileriyle çalıştırabiliyor. Bu tür saldırılara DLL yan yükleme (side-loading) deniyor. Bültene göre açığın CVSS 4.0 puanı 8.4, CVSS 3.1 puanı 6.7. Puan vektörü, saldırının yerel erişim ve yüksek yetki gerektirdiğini varsayıyor.

Saldırıların işleyişi

Siemens’in anlattığına göre saldırganlar programı değiştirmedi. Siemens Software Center’ın geçerli imzalı, gerçek bir kopyasını (o sırada en yeni sürüm olan 3.5.8.7) kendi zararlı DLL dosyalarıyla birlikte bir paket halinde dağıttılar. Program başladığında yanındaki zararlı dosyaları yükledi. Siemens, “bildiğimiz kadarıyla hiçbir Siemens sistemi, ürünü ya da güncelleme kanalı ele geçirilmedi” diyor ve zararlı paketin kendi dağıtım kanallarından yayılmadığını belirtiyor.

Siemens saldırıları Romulus adlı ClickFix kampanyasına bağlıyor. ClickFix, kullanıcıyı bir web sayfasında gördüğü komutu kopyalayıp Windows’un Çalıştır kutusuna ya da PowerShell’e yapıştırmaya yönlendiren saldırılara verilen ad. Siemens’in önerileri arasında bu tür komutların hiç çalıştırılmaması da var. Güvenlik şirketi Forescout’un 15 Ekim’de yayımladığı analize göre Romulus, PowerShell betikleri ve truva atlı kurulum paketleri dağıtan bir altyapı. Forescout, kampanyada LegionLoader adlı zararlı yükleyicinin ve Stardock’un meşru bir uygulamasını kötüye kullanan bir kurulum paketinin dağıtıldığını yazıyor. Siemens’in paylaştığı saldırı göstergelerinde AllMyBasic.msi adlı bir paket ve onu dağıtan adres de yer alıyor.

Etkilenen sürümler

• Siemens Software Center, 4.0.9.8 öncesi bütün sürümler

Düzeltme 4.0.9.8 sürümünde. Siemens’e göre kurulu programlar bir sonraki açılışta kendiliğinden güncelleniyor. Yeni sürüm Siemens’in sitesinden de indirilebiliyor.

Önerilen önlemler

Siemens Software Center kullanıyorsanız programı açıp 4.0.9.8 ya da daha yeni bir sürüme geçtiğinden emin olun. Siemens yazılımlarını yalnızca Siemens’in resmi kaynaklarından indirin. Bir web sayfası sizden bir komutu kopyalayıp Çalıştır kutusuna veya PowerShell’e yapıştırmanızı istiyorsa bunu yapmayın.

Saldırganlar programı kendi paketleriyle getirdiği için bu izler, Siemens Software Center’ı hiç kurmamış bilgisayarlarda da bulunabiliyor. Siemens’in aranmasını önerdiği izler:

• AppData\Local\Programs altında “SM Software Provisioning Service” adlı bir klasör
• SiemensSoftwareCenter.exe’nin yanında activate.bak ya da statinfosta.DB dosyaları
• AppData\Local altında içinde ftc.uml bulunan “FTSuite” klasörü
• Programın hiç kurulmadığı bilgisayarlarda başlangıç uygulamalarında ya da Görev Zamanlayıcı’da beklenmedik Siemens Software Center kayıtları
• AppData\Local\Programs altından, msiexec tarafından başlatılmış bir SiemensSoftwareCenter.exe işlemi

Siemens, 96.62.218[.]59 adresinin ve wizardexpensive[.]com alan adının güvenlik duvarında ve DNS’te engellenmesini, kayıtlarda bu adreslere ve paketi dağıtan 2.27.248[.]127 adresine giden bağlantıların aranmasını öneriyor. Program dosyası gerçek ve imzalı olduğu için dosya özetine göre arama yapmak yerine bu klasörlere ve davranışlara bakılması gerektiğini vurguluyor.

Bir bilgisayarın ele geçirildiğinden şüpheleniyorsanız, Siemens önce bilgisayarın ağdan ayrılmasını, ardından işlemin durdurulmasını, başlangıç kaydının ve zamanlanmış görevin kaldırılmasını ve şifrelerin değiştirilmesini öneriyor.