Siemens เตือนช่องโหว่ Software Center ถูกแฮกเกอร์ ClickFix โจมตี

Siemens เปิดเผยว่าผู้ไม่หวังดีได้ฉวยโอกาสใช้ประโยชน์จากช่องโหว่ใน Siemens Software Center ซึ่งเป็นส่วนหนึ่งของแคมเปญโจมตีด้วยมัลแวร์ โดยซอฟต์แวร์ดังกล่าวมีหน้าที่จัดการดาวน์โหลด ติดตั้ง และอัปเดตผลิตภัณฑ์ต่างๆ ของบริษัท รวมถึงการเปิดใช้งานซอฟต์แวร์ทดลองใช้ฟรี

ช่องโหว่รหัส CVE-2026-110936 มีสาเหตุจากการที่โปรแกรมไม่ได้จำกัดตำแหน่งการค้นหาไฟล์ DLL อย่างเหมาะสม ส่งผลให้ผู้โจมตีในระดับท้องถิ่นที่ผ่านการยืนยันตัวตนแล้ว สามารถวางไฟล์ DLL อันตรายไว้ในโฟลเดอร์ที่กำหนดเพื่อรันโค้ดด้วยสิทธิ์ระดับเดียวกับ Software Center ได้

Siemens ได้เปิดเผยรายละเอียดใน advisory เมื่อวันที่ 15 ตุลาคม โดยกำหนดคะแนนความรุนแรง CVSS v4 ไว้ที่ 8.4 ก่อนจะอัปเดตข้อมูลในอีกสองวันถัดมาว่าได้แก้ไขปัญหานี้แล้วในเวอร์ชัน 4.0.9.8 ซึ่งผู้ใช้งานจะได้รับการอัปเดตโดยอัตโนมัติเมื่อเปิดโปรแกรมครั้งถัดไป

อย่างไรก็ตาม Siemens ได้ปรับปรุงประกาศอีกครั้งเพื่อยืนยันการโจมตีในสภาพแวดล้อมจริง พร้อมให้ข้อมูลในบล็อกโพสต์ที่ อธิบายถึงการโจมตี ว่าผู้ไม่หวังดีได้นำตัวติดตั้ง Siemens ของแท้ที่มีลายมือชื่อดิจิทัลถูกต้อง มาใช้คู่กับไฟล์ DLL อันตรายที่จัดเตรียมไว้ เพื่อหลอกให้ระบบโหลดไฟล์ดังกล่าวเมื่อโปรแกรมเริ่มทำงาน

จากการตรวจสอบพบว่าเวอร์ชัน 3.5.8.7 ไม่มีการตรวจสอบไฟล์ช่วยเหลือเหล่านี้ก่อนโหลด แต่ Siemens ยืนยันว่าระบบ ผลิตภัณฑ์ หรือช่องทางการอัปเดตของบริษัทไม่ได้ถูกบุกรุก และแพ็กเกจอันตรายดังกล่าวไม่ได้ถูกแพร่กระจายผ่านช่องทางทางการของ Siemens แต่อย่างใด

บริษัทได้แบ่งปันข้อมูลข่าวกรองด้านภัยคุกคาม (IoCs) ร่วมกับเจ้าหน้าที่และผู้ให้บริการ EDR พร้อมแนะนำให้ผู้ดูแลระบบเฝ้าระวังพฤติกรรมที่น่าสงสัยในโฟลเดอร์ที่เกี่ยวข้อง แทนที่จะตรวจสอบเพียงแค่ค่า file hashes เนื่องจากไฟล์หลักของ Siemens ที่ใช้ในการโจมตีนั้นเป็นไฟล์ของแท้

Siemens เชื่อมโยงการโจมตีกับปฏิบัติการ Romulus ClickFix

Siemens ระบุว่าการโจมตีครั้งนี้มีความเชื่อมโยงกับ Romulus ซึ่งเป็นแคมเปญ ClickFix แบบหลายแพลตฟอร์ม โดยใช้วิธีหลอกลวงด้วยข้อความแจ้งเตือนปลอม เช่น การตรวจสอบ CAPTCHA เพื่อจูงใจให้ผู้ใช้คัดลอกและวางคำสั่งอันตรายลงในเครื่องของตนเอง

รายงานจาก Forescout เกี่ยวกับ Romulus ระบุว่าแพลตฟอร์มนี้สามารถส่งมัลแวร์ได้หลายรูปแบบ เช่น LegionLoader และยังพบการใช้เทคนิค DLL side-loading กับซอฟต์แวร์ของแท้จากรายอื่น เช่น Stardock ในการส่งมัลแวร์ด้วยเช่นกัน

ก่อนหน้านี้ Huntress ได้รายงานถึงแคมเปญที่ ใช้ ChatGPT Custom GPTs ปลอม เพื่อล่อลวงผู้ใช้ไปยังหน้า ClickFix โดยพบการนำโปรแกรมที่มีลายมือชื่อถูกต้องจาก Canon และ Stardock มาใช้ในทางที่ผิด แม้ Siemens Software Center จะไม่ได้ถูกระบุในรายงานฉบับแรกๆ แต่โครงสร้างพื้นฐานและวิธีการที่ซ้อนทับกันบ่งชี้ว่าโปรแกรมของ Siemens ได้ถูกนำมาบรรจุไว้ในชุดเครื่องมือโจมตีเดียวกันนี้แล้ว