Cảnh báo lỗ hổng CVE-2026-110936 trong Siemens Software Center bị khai thác

• Lỗ hổng nghiêm trọng: CVE-2026-110936 cho phép kẻ tấn công thực thi mã độc thông qua kỹ thuật DLL side-loading.
• Phạm vi ảnh hưởng: Các phiên bản Siemens Software Center trước 4.0.9.8.
• Phương thức tấn công: Lợi dụng các tệp thực thi hợp lệ để tải thư viện độc hại, liên quan đến chiến dịch ClickFix.
• Khuyến nghị: Cập nhật ngay lên phiên bản 4.0.9.8 và kiểm tra các dấu hiệu xâm nhập (IOCs) trong hệ thống.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về một chiến dịch tấn công mạng đang diễn ra, nhắm mục tiêu vào người dùng phần mềm Siemens thông qua việc khai thác lỗ hổng CVE-2026-110936. Lỗ hổng này nằm trong cơ chế xử lý thư viện của Siemens Software Center, cho phép kẻ tấn công thực thi mã độc dưới đặc quyền của ứng dụng thông qua kỹ thuật DLL side-loading.

Phân tích kỹ thuật lỗ hổng CVE-2026-110936

Theo thông tin từ các chuyên gia, lỗ hổng này xuất phát từ việc ứng dụng không kiểm tra tính hợp lệ của các thư viện được tải vào bộ nhớ khi khởi chạy. Cụ thể, Siemens Software Center phiên bản 3.5.8.7 và các phiên bản cũ hơn có cơ chế tìm kiếm thư viện không an toàn, cho phép kẻ tấn công đặt các tệp DLL độc hại cùng thư mục với tệp thực thi hợp lệ (đã được ký số).

Khi người dùng khởi chạy ứng dụng, hệ thống sẽ ưu tiên tải các thư viện nằm trong cùng thư mục thay vì các thư viện hệ thống chuẩn. Điều này dẫn đến việc mã độc được thực thi với quyền hạn của ứng dụng Siemens, vượt qua các kiểm tra bảo mật thông thường dựa trên chữ ký số của tệp thực thi chính.

Chi tiết chiến dịch tấn công ClickFix

Chiến dịch này được xác định là một phần của nền tảng tấn công đa nền tảng mang tên Romulus ClickFix. Kẻ tấn công sử dụng các thủ thuật lừa đảo người dùng thông qua các thông báo xác thực hoặc sửa lỗi giả mạo, từ đó dẫn dụ nạn nhân thực thi các lệnh PowerShell độc hại hoặc cài đặt các gói phần mềm chứa mã độc.

Các nhà nghiên cứu đã ghi nhận việc kẻ tấn công phân phối các tệp thực thi Siemens hợp lệ đi kèm với các tệp DLL độc hại bên ngoài các kênh phân phối chính thức. Điều này khiến việc phát hiện dựa trên chữ ký số của tệp SiemensSoftwareCenter.exe trở nên vô hiệu nếu không kiểm tra các tệp tin đi kèm.

Bảng tổng hợp chỉ số xâm nhập (IOCs)

Hướng dẫn săn tìm mối đe dọa và phòng thủ

Để đảm bảo an toàn cho hệ thống, các quản trị viên cần thực hiện rà soát các dấu hiệu bất thường. Cần đặc biệt chú ý đến thư mục %LOCALAPPDATA%\Programs\SM Software Provisioning Service\ và sự xuất hiện của các tệp tin lạ như activate.bak hoặc statinfosta.DB nằm cạnh tệp thực thi chính.

⚠️ Cảnh báo quan trọng: Không bao giờ sao chép và dán các lệnh từ trang web vào cửa sổ Run hoặc PowerShell. Các thông báo "I am not a robot" yêu cầu chạy lệnh trên máy tính là dấu hiệu rõ ràng của hành vi tấn công.

Các bước khắc phục và hardening hệ thống:

• Cập nhật phần mềm: Nâng cấp ngay lên phiên bản 4.0.9.8 hoặc mới hơn thông qua cơ chế cập nhật tự động của Siemens.
• Chặn hạ tầng độc hại: Cấu hình Firewall hoặc Proxy để chặn kết nối tới các địa chỉ IP và tên miền đã được liệt kê trong bảng IOCs.
• Kiểm tra tiến trình: Sử dụng các công cụ EDR để giám sát tiến trình msiexec khi khởi chạy SiemensSoftwareCenter.exe từ các đường dẫn không chuẩn.
• Xử lý sự cố: Nếu phát hiện hệ thống bị xâm nhập, cần cô lập máy chủ, xóa các tác vụ định kỳ (Scheduled Tasks) lạ và thực hiện thay đổi toàn bộ mật khẩu tài khoản liên quan.

Thông tin chi tiết về lỗ hổng đã được Siemens công bố trong bản tin bảo mật SSA-580366. Việc duy trì cảnh giác và tích hợp các nguồn dữ liệu Threat Intelligence (TI) là yếu tố then chốt để phát hiện sớm các biến thể mã độc mới trong tương lai. Bạn có thể tham khảo thêm thông tin tại CISA hoặc các cổng thông tin an ninh mạng uy tín để cập nhật các quy tắc phát hiện mới nhất.