Siemens Software Center sotto attacco ClickFix: DLL malevola esegue un RAT

🛡️ Executive Summary

• Siemens conferma lo sfruttamento attivo di CVE-2026-110936, vulnerabilità DLL sideloading con punteggio CVSS 4.0 pari a 8,4.
• La campagna Romulus utilizza ClickFix, un installer MSI e un eseguibile Siemens autentico per distribuire codice malevolo e RAT.
• La versione 4.0.9.8 corregge la vulnerabilità, ma gli endpoint già compromessi richiedono verifiche e interventi di incident response.

Siemens Software Center è stato sfruttato in una campagna ClickFix che utilizza un eseguibile autentico e firmato digitalmente per caricare librerie DLL malevole e distribuire malware sui sistemi Windows. La vulnerabilità, identificata come CVE-2026-110936, è stata corretta nella versione 4.0.9.8, mentre Siemens ha confermato il 19 ottobre 2026 l’esistenza di attacchi reali riconducibili alla campagna Romulus. Gli aggressori non hanno compromesso i sistemi di distribuzione ufficiali del produttore, ma hanno utilizzato una copia legittima dell’applicazione affiancandola a componenti ostili. Il caso dimostra come una firma digitale valida possa diventare parte di una catena d’infezione quando un’applicazione carica librerie da percorsi non adeguatamente controllati.

Siemens conferma CVE-2026-110936 e corregge il caricamento delle DLL

La comunicazione ufficiale pubblicata da Siemens ProductCERT il 19 ottobre conferma lo sfruttamento attivo di CVE-2026-110936, un problema di DLL sideloading che interessa Siemens Software Center, applicazione utilizzata per scaricare, installare, attivare e aggiornare software del produttore tedesco. Nell’advisory SSA-580366 pubblicato il 15 ottobre, la vulnerabilità viene classificata come CWE-427, Uncontrolled Search Path Element, con punteggio CVSS 3.1 di 6,7 e CVSS 4.0 di 8,4. Il difetto consente a un attaccante locale autenticato, in possesso dei privilegi necessari, di collocare una DLL appositamente preparata in una directory ricercata dall’applicazione e ottenere l’esecuzione di codice con gli stessi privilegi del processo vulnerabile. Siemens ha individuato nella versione 3.5.8.7 il componente utilizzato dagli aggressori e ha successivamente confermato la disponibilità della correzione nella 4.0.9.8, superando le indicazioni iniziali dell’advisory che annunciavano una patch ancora in preparazione. La distinzione tra sfruttamento locale e distribuzione attraverso ClickFix è fondamentale: il secondo meccanismo permette agli aggressori di convincere la vittima ad avviare la catena malevola, senza trasformare automaticamente la vulnerabilità in un exploit remoto non autenticato. È una dinamica coerente con i precedenti attacchi che hanno utilizzato falsi installer di Claude Desktop e DLL sideloading per distribuire SectopRAT, dove il software riconoscibile diventa un elemento della strategia offensiva.

Leggi anche: Custom GPT usati per ClickFix: ChatGPT diventa l’esca per installare un RAT

Romulus utilizza ClickFix per portare il malware sui computer Windows

La campagna Romulus combina l’ingegneria sociale di ClickFix con strumenti legittimi del sistema operativo e un pacchetto di installazione costruito per distribuire componenti malevoli. La tecnica prevede che l’utente venga indotto a copiare ed eseguire un comando apparentemente necessario per completare una verifica, correggere un errore o sbloccare una funzionalità. Il comando può avviare PowerShell e recuperare ulteriori payload, mentre nella campagna Siemens è stato identificato AllMyBasic.msi, un installer associato all’utilizzo di msiexec.exe e alla successiva esecuzione di Siemens Software Center insieme alla libreria ostile archive.dll. Il programma originale mantiene la propria firma digitale, mentre il codice dannoso viene introdotto mediante un file esterno caricato durante l’avvio. Il risultato è una catena nella quale l’utente esegue volontariamente il primo comando e i componenti successivi sfruttano la fiducia accordata al software autentico. Il percorso ricorda il recente abuso della cache del browser per nascondere i payload ClickFix e aggirare i limiti di Windows Run, confermando l’evoluzione di una tecnica che non dipende da un unico malware o da una singola modalità di distribuzione. Siemens attribuisce gli indicatori osservati alla campagna Romulus, ma non identifica pubblicamente gli operatori responsabili, rendendo improprio collegare automaticamente l’attività ad altri gruppi che utilizzano tecniche simili.

Software firmato e DLL malevole aggirano il controllo basato sulla reputazione

L’aspetto tecnicamente più rilevante riguarda il comportamento del caricamento delle librerie Windows. Quando un’applicazione ricerca una DLL in un percorso non sufficientemente vincolato, la presenza di un file controllato dall’attaccante può provocarne il caricamento all’interno del processo legittimo. Nel caso Siemens, l’eseguibile firmato non è stato modificato: gli aggressori hanno collocato i propri file nella directory utilizzata dall’applicazione, sfruttando la vulnerabilità per eseguire il contenuto malevolo. Questa caratteristica riduce il valore dei controlli fondati esclusivamente sulla firma dell’eseguibile principale, perché il comportamento sospetto emerge soltanto considerando anche le librerie caricate, la directory di esecuzione e i processi che hanno avviato il programma. Il problema era già emerso nelle campagne ValleyRAT che impiegavano software firmato e DLL sideloading per distribuire malware, ma Siemens introduce un elemento particolare: l’utilizzo di uno strumento associato a un importante produttore di tecnologie industriali. Questo non significa che siano stati compromessi PLC, sistemi SCADA o infrastrutture operative. L’attività documentata riguarda la compromissione di endpoint Windows attraverso una copia dell’applicazione distribuita fuori dai canali ufficiali, mentre Siemens dichiara di non avere evidenze di violazioni dei propri sistemi, prodotti o canali di aggiornamento.

Indicatori di compromissione e controlli sugli endpoint aziendali

Siemens ha pubblicato indicatori di compromissione che consentono alle organizzazioni di individuare le installazioni malevole e le comunicazioni associate alla campagna. Tra gli elementi identificati figurano l’indirizzo 96.62.218[.]59 e il dominio wizardexpensive[.]com, utilizzati per ospitare payload e comunicazioni di comando e controllo, oltre all’indirizzo 2.27.248[.]127, collegato alla distribuzione del pacchetto AllMyBasic.msi e già inattivo al momento della comunicazione. Sul sistema locale devono essere considerate anomale le esecuzioni di SiemensSoftwareCenter.exe dalla directory AppData\Local\Programs, soprattutto quando il processo padre è msiexec.exe. Siemens segnala inoltre la presenza della cartella SM Software Provisioning Service, dei file activate.bak e statinfosta.DB accanto all’eseguibile, nonché della directory FTSuite contenente ftc.uml. Questi elementi devono essere correlati con processi, connessioni e meccanismi di persistenza, evitando di considerare la sola presenza dell’eseguibile Siemens come indicatore sufficiente. La società raccomanda di isolare gli endpoint compromessi, interrompere il processo malevolo, rimuovere le attività pianificate e gli elementi di avvio persistenti e reimpostare le password potenzialmente esposte. È una risposta coerente con il rischio introdotto da campagne che trasformano l’interazione dell’utente in accesso iniziale, come dimostrato anche dalla variante TerminalFix che utilizza falsi CAPTCHA per aprire reverse tunnel nelle reti aziendali.

Continua con:

LunexStealer usa 100 siti violati e la blockchain per cambiare C2

Trellix scopre una campagna che abusa di ahost.exe attraverso DLL sideloading

La patch Siemens 4.0.9.8 chiude la vulnerabilità ma non le infezioni esistenti

La correzione di CVE-2026-110936 è disponibile in Siemens Software Center 4.0.9.8 o versioni successive e, secondo il produttore, le installazioni esistenti ricevono automaticamente l’aggiornamento al successivo avvio dell’applicazione. Il patching rimane l’intervento prioritario, ma non costituisce una bonifica per gli endpoint sui quali gli aggressori hanno già ottenuto l’esecuzione del codice malevolo. Per le imprese italiane che utilizzano software Siemens in ambito industriale, ingegneristico o produttivo, il problema richiede quindi due verifiche separate: individuare le installazioni vulnerabili e ricercare eventuali tracce della campagna Romulus. Non risultano documentate, nelle comunicazioni analizzate, compromissioni specifiche di organizzazioni italiane, ma l’utilizzo di un applicativo distribuito in ambienti professionali rende il controllo pertinente anche per il mercato nazionale. La lezione tecnica è che una firma digitale valida non garantisce da sola la sicurezza del processo eseguito: l’affidabilità dell’eseguibile deve essere valutata insieme alla provenienza dei file, alle librerie caricate e ai comportamenti osservati sull’endpoint. Siemens ha corretto il difetto software, mentre la campagna ClickFix dimostra come gli aggressori possano continuare a sfruttare l’interazione umana per introdurre componenti malevoli anche quando non dispongono di un accesso diretto ai sistemi del produttore.