Podpisany plik też może przenosić malware: ataki z Siemens Software Center

Prawidłowy podpis cyfrowy programu nie oznacza, że cały folder, instalator lub proces uruchomienia jest bezpieczny. Kampania wykorzystująca Siemens Software Center dobrze pokazuje tę różnicę: napastnicy nie musieli modyfikować podpisanego pliku producenta. Umieścili obok niego własne biblioteki DLL, które program ładował podczas startu.

19 października Siemens poinformował o aktywnym wykorzystywaniu CVE-2026-110936 w kampanii określanej jako Romulus. Atak łączy socjotechnikę ClickFix z techniką DLL side-loading. Producent podkreśla, że według jego wiedzy nie doszło do naruszenia systemów Siemensa, produktów ani oficjalnego kanału aktualizacji.

To ważne rozróżnienie. Napastnicy rozpowszechniali prawdziwy, podpisany Siemens Software Center 3.5.8.7 razem ze złośliwymi plikami DLL poza oficjalnymi kanałami. Sam podpisany plik nie został zmieniony. Zagrożenie znajdowało się w dołączonych bibliotekach i w sposobie, w jaki ofiara została skłoniona do uruchomienia pakietu.

Wniosek Breachroad: podpis pomaga potwierdzić pochodzenie konkretnego pliku, ale nie uwierzytelnia całego katalogu ani polecenia skopiowanego ze strony internetowej. Kontrola bezpieczeństwa musi objąć źródło pobrania, sąsiednie pliki i kontekst uruchomienia.

Jak zaczyna się taki atak

ClickFix zwykle udaje rozwiązanie prostego problemu: weryfikację „nie jestem robotem”, naprawę błędu odtwarzacza, aktualizację albo dostęp do dokumentu. Strona nakłania użytkownika do otwarcia okna Uruchamianie lub PowerShella, wklejenia polecenia i jego wykonania.

To nie jest techniczna sztuczka wymagająca złamania hasła. Przestępca przekonuje człowieka, aby sam wykonał polecenie, które pobiera lub uruchamia kolejne elementy ataku. Później legalny plik EXE może pełnić rolę wiarygodnie wyglądającego nośnika dla złośliwej biblioteki DLL.

Zwykły mechanizm CAPTCHA nie prosi o:

• naciśnięcie Win+R;
• wklejenie polecenia do PowerShella, Terminala lub wiersza poleceń;
• wyłączenie ochrony albo potwierdzenie ostrzeżenia systemowego;
• pobranie „weryfikatora” z losowej domeny.

Jeżeli instrukcja na stronie wymaga takich kroków, należy zamknąć kartę. W firmie zdarzenie warto zgłosić nawet wtedy, gdy polecenie nie zostało wykonane — zespół może zablokować domenę i ostrzec pozostałych pracowników.

Kto jest narażony

Podatność dotyczy Siemens Software Center. W advisory SSA-580366 producent wskazał poprawione wydanie 4.0.9.8. Istniejące instalacje powinny pobrać aktualizację przy kolejnym uruchomieniu, lecz administrator nie powinien zakładać, że stało się to na każdym urządzeniu. Trzeba odczytać rzeczywistą wersję.

Najpilniejsza kontrola dotyczy dwóch grup:

1. komputerów, na których organizacja świadomie używa Siemens Software Center — trzeba potwierdzić wersję i źródło instalacji;
2. komputerów, na których program pojawił się bez uzasadnienia biznesowego — jego obecność może być śladem kampanii, a nie legalnym wdrożeniem.

Sama obecność starszej wersji nie dowodzi infekcji. Z kolei brak Siemensa w spisie zatwierdzonych aplikacji nie wystarcza do zamknięcia tematu, bo pakiet mógł działać z katalogu użytkownika bez typowego procesu instalacji.

Sygnały, które warto sprawdzić

Siemens opublikował konkretne oznaki do polowania. Należą do nich nieoczekiwany wpis Siemens Software Center w aplikacjach startowych lub Harmonogramie zadań oraz katalog SM Software Provisioning Service w profilu użytkownika. Producent wskazuje też pliki activate.bak i statinfosta.DB obok programu, a także katalog FTSuite z plikiem ftc.uml.

Wskaźniki sieciowe podane przez producenta obejmują adres 96.62.218[.]59 oraz domenę wizardexpensive[.]com. W komunikacie znajduje się również nieaktywny już adres dystrybucyjny 2.27.248[.]127 i skróty SHA-256 plików, między innymi:

• AllMyBasic.msi: f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a;
• archive.dll: 3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491.

Wskaźnik kompromitacji jest punktem startowym, nie pełnym opisem napastnika. Brak pojedynczego hasha lub domeny nie wyklucza zdarzenia, a samo trafienie wymaga weryfikacji kontekstu, czasu i ścieżki pliku.

Co zrobić na komputerze użytkownika

Jeżeli polecenie ze strony zostało wklejone i uruchomione:

1. odłącz komputer od sieci firmowej bez wyłączania go, jeśli procedura organizacji tak przewiduje;
2. skontaktuj się z helpdeskiem lub zespołem bezpieczeństwa z innego urządzenia;
3. przekaż adres strony, przybliżony czas zdarzenia i opis wykonanych kroków;
4. nie kasuj samodzielnie plików i historii — mogą być potrzebne do ustalenia zakresu;
5. z bezpiecznego urządzenia przygotuj zmianę haseł i unieważnienie sesji wskazanych przez zespół reagowania.

Osoba prywatna powinna rozłączyć urządzenie z internetem i skorzystać z pomocy zaufanego serwisu lub dostawcy ochrony. Jeżeli na komputerze używano bankowości, poczty lub menedżera haseł, należy potraktować te konta jako potencjalnie narażone i skontaktować się z odpowiednią instytucją znanym, niezależnie znalezionym kanałem.

Plan dla firmy

• zaktualizuj legalne instalacje do 4.0.9.8 lub nowszej wersji wskazanej przez producenta;
• sprawdź EDR, logi DNS, proxy i zapory pod kątem opublikowanych wskaźników;
• wyszukaj uruchomienia programu z nietypowych katalogów użytkownika oraz sąsiednie, niepodpisane biblioteki DLL;
• odseparuj hosty z potwierdzonymi śladami i zachowaj dane potrzebne do analizy;
• sprawdź konta i sesje używane na takim komputerze, zamiast ograniczać reakcję do usunięcia pliku;
• przypomnij pracownikom jedną prostą zasadę: strona internetowa nie powinna dyktować poleceń do wklejenia w systemowym terminalu.

Lista aplikacji dozwolonych nie rozwiązuje problemu sama. Jeżeli reguła ufa każdemu podpisanemu plikowi niezależnie od ścieżki, sąsiednich bibliotek i procesu nadrzędnego, zaufany komponent może zostać użyty poza normalnym kontekstem.

Fakty i nasze zalecenia

Aktywne wykorzystywanie, wersja użyta w kampanii, opublikowane wskaźniki i brak potwierdzonego naruszenia infrastruktury Siemensa pochodzą z komunikatu producenta. Wersja naprawiona pochodzi z advisory SSA-580366. Źródła nie twierdzą, że każda starsza instalacja jest zainfekowana.

Priorytetowe polowanie na nietypowe ścieżki, analiza kont używanych na hoście i traktowanie instrukcji ClickFix jako materiału do ćwiczeń są rekomendacjami Breachroad. Podobny mechanizm opisaliśmy przy ClickFix ukrywającym ładunek w pamięci podręcznej przeglądarki. Firmy mogą przećwiczyć rozpoznawanie takich scenariuszy podczas szkoleń z cyberbezpieczeństwa i symulacji phishingu, a reguły uruchamiania oraz widoczność EDR zweryfikować w ramach audytu bezpieczeństwa IT.