Están aprovechando una vulnerabilidad de DLL side-loading en el Siemens Software Center (CVE-2026-110936) para ejecutar malware mediante una aplicación firmada y confiable. Este fallo afecta a las versiones anteriores a la 4.0.9.8. Siemens ha confirmado que existe una explotación activa y ya ha lanzado una corrección que se aplicará automáticamente la próxima vez que se inicie la aplicación, según el aviso de seguridad SSA-580366.

Explotando un fallo de carga lateral de DLL (DLL side-loading) en Siemens Software Center para ejecutar malware a través de una aplicación firmada y confiable. Identificada como CVE-2026-110936, esta debilidad afecta a las versiones anteriores a la 4.0.9.8.

Siemens ha confirmado la explotación activa y ha lanzado una solución; las instalaciones existentes recibirán la actualización la próxima vez que inicies la aplicación.

Siemens publicó el aviso de seguridad SSA-580366 el 15 de octubre y añadió una referencia a la explotación activa el 19 de octubre. Según los detalles de la campaña de la empresa, los atacantes distribuyeron un ejecutable genuino de Siemens junto con archivos maliciosos fuera de los canales oficiales.

Siemens afirmó que no tiene conocimiento de ninguna brecha que involucre sus sistemas, productos o canales de actualización. Los atacantes utilizaron la versión 3.5.8.7 de Siemens Software Center para entregar su malware.

El ejecutable conservó su firma digital válida y no fue modificado. En su lugar, los atacantes colocaron archivos DLL maliciosos junto a él, explotando la forma en que la aplicación vulnerable buscaba las librerías de soporte.

Explotación del fallo en Siemens Software Center

Según Siemens, la carga lateral de DLL ocurre cuando una aplicación carga una librería no confiable desde su carpeta sin la validación adecuada, lo que permite que el código malicioso se ejecute con los privilegios de la aplicación debido a una ruta de búsqueda no controlada.

Esto hace que la ubicación y el comportamiento del ejecutable sean importantes. Una firma válida en SiemensSoftwareCenter.exe no establece que las DLL adyacentes sean seguras. Si tú solo revisas la huella del ejecutable genuino, podrías pasar por alto los archivos responsables de la infección.

La actividad está vinculada a la campaña multiplataforma Romulus ClickFix. ClickFix engaña a los usuarios para que ejecuten comandos a través de avisos falsos de verificación o reparación.

Informes previos sobre la plataforma ROMULUS ClickFix describieron scripts de PowerShell ocultos, instaladores modificados y librerías maliciosas cargadas a través de software legítimo.

También se han cubierto ataques de ClickFix que utilizan túneles de Python, donde ejecutables confiables, DLL maliciosas cercanas y tareas programadas formaban parte de la cadena de infección. Estos casos demuestran por qué el software firmado sigue requiriendo comprobaciones de comportamiento.

Siemens identificó a 96.62.218[.]59 y wizardexpensive[.]com como infraestructura de alojamiento de carga útil y de comando y control (C2). Ambos estaban activos cuando se publicó el aviso de la campaña.

Otra dirección, 2.27.248[.]127, distribuyó previamente el paquete malicioso AllMyBasic.msi, pero ya no servía archivos. Las descargas anteriores aún requieren investigación.

Las señales de alerta incluyen la aparición de Siemens Software Center en las aplicaciones de inicio o en el Programador de Tareas en ordenadores donde tú nunca lo hayas instalado.

Indicadores de Compromiso

Tipo	Indicador	Propósito / Detección
IP	96.62.218[.]59	C2 Activo / host de carga útil
Dominio	wizardexpensive[.]com	C2 Activo / host de carga útil
IP	2.27.248[.]127	Inactivo; host histórico de MSI
SHA-256 (MSI)	f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a	Instalador malicioso
SHA-256 (DLL)	3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491	DLL maliciosa
Directorio	%LOCALAPPDATA%\Programs\SM Software Provisioning Service\	Carpeta de instalación del malware
Archivos	activate.bak, statinfosta.DB	Sospechosos junto a SiemensSoftwareCenter.exe
Ruta de archivo	%LOCALAPPDATA%\FTSuite\ftc.uml	Artefacto relacionado con la infección
Ejecución	msiexec lanzando SiemensSoftwareCenter.exe desde %LOCALAPPDATA%\Programs\	Actividad de proceso sospechosa
Persistencia	Entrada de inicio inesperada o tarea programada	Mecanismo de persistencia potencial

Si estás investigando, debes buscar una carpeta llamada "SM Software Provisioning Service" en AppData\Local\Programs y la ejecución inesperada de SiemensSoftwareCenter.exe desde esa ubicación, particularmente cuando es lanzado por msiexec.

Otros rastros reportados incluyen activate.bak o statinfosta.DB junto al ejecutable y una carpeta FTSuite que contiene ftc.uml en AppData\Local. Las conexiones a la infraestructura reportada deben activar una investigación más profunda en lugar de ser tratadas como tráfico inofensivo de actualización de software.

Debes instalar Siemens Software Center 4.0.9.8 o posterior. Iniciar una instalación existente activará su actualización automática. Las descargas deben provenir de la página oficial de Siemens Software Center, no de paquetes de terceros.

Como defensor, debes bloquear la infraestructura enumerada, revisar los registros históricos e aislar los sistemas comprometidos. Detén el proceso malicioso, elimina las entradas de inicio y las tareas programadas, y luego restablece las contraseñas afectadas a través del proceso de respuesta a incidentes.

Nunca pegues comandos de páginas web en "Ejecutar" o PowerShell. Una comprobación genuina de "No soy un robot" no requiere que ejecutes un comando en tu ordenador.

Fuentes:
https://cybersecuritynews.com/siemens-software-center-flaw-exploited/