Ваш купон на скидку:
Компания Siemens связала зафиксированные атаки с многоцелевой платформой распространения вредоносного ПО под названием Romulus, которая применяет схемы ClickFix. В рамках таких кампаний пользователи сталкиваются с фальшивыми проверками CAPTCHA или другими инструкциями, которые заставляют их самостоятельно выполнять вредоносные команды. Ранее специалисты Forescout фиксировали присутствие Romulus на серверах, включая узел распространения пакета с поддельными компонентами Siemens, где платформа доставляла вредоносную программу LegionLoader и измененный установщик, применявший легитимное приложение Stardock для загрузки вредоносного кода через механизм DLL side-loading. Исследователи Forescout не смогли определить точный статус управления Romulus, допустив, что это может быть закрытый инструмент, коммерческий сервис для киберпреступников, партнерская платформа либо программа, которую используют несколько различных группировок.
В конце сентября специалисты Huntress зафиксировали аналогичную кампанию, в которой пользователей перенаправляли на страницы ClickFix через поддельные пользовательские GPT в ChatGPT, после чего применялись подписанные приложения Canon и Stardock для загрузки вредоносного кода, завершавшегося установкой трояна удаленного доступа (RAT). Организация Huntress зарегистрировала не менее 40 подобных инцидентов и высказала предположение о возможном аналогичном применении программного обеспечения от других вендоров. При этом программа Siemens Software Center в предшествующих отчетах Forescout и Huntress не фигурировала, но сходство инфраструктуры и векторов атак свидетельствует о вероятном добавлении этого приложения в тот же арсенал инструментов.
Ранее компания Siemens уведомила об эксплуатации уязвимости CVE-2026-110936 в утилите Software Center, которая применяется для скачивания, установки, активации, обновления купленных программ и запуска бесплатных пробных версий. Уязвимость заключалась в недостаточно строгой проверке директорий для загрузки DLL-файлов, из-за чего локальный пользователь с правами аутентифицированного доступа мог разместить вредоносную библиотеку в одной из таких папок и обеспечить запуск своего кода с привилегиями Software Center. 15 октября Siemens опубликовала бюллетень безопасности с оценкой уязвимости в 8,4 балла по шкале CVSS 4.0, а 17 октября подтвердила выпуск исправления в версии 4.0.9.8, которая устанавливается автоматически при последующем запуске приложения.
В понедельник компания раскрыла информацию о реальных кибератаках, в ходе которых хакеры использовали не саму уязвимость как таковую для взлома, а подлинную копию Siemens Software Center с действующей цифровой подписью, размещая рядом собственные вредоносные библиотеки DLL для их последующей загрузки приложением. Представители Siemens подчеркнули отсутствие изменений в самом программном продукте и то, что зараженный пакет не распространялся через официальные каналы поставок компании, заявив о неизменности систем, продуктов и каналов обновлений.
Собранные данные об угрозе переданы правоохранительным органам и разработчикам EDR-систем, предназначенных для обнаружения и реагирования на кибератаки, а в открытых материалах опубликованы индикаторы компрометации и признаки возможного заражения. Источник изображения в исходных материалах указан как сгенерированный Muse.