ClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan

Exploitation de Siemens Software Center via le détournement de DLL

Siemens a corrigé une vulnérabilité critique exploitée activement par la plateforme de “ClickFix” baptisée Romulus pour déployer des chevaux de Troie d’accès à distance (RAT). Les attaquants détournent la signature numérique de confiance de l’utilitaire Siemens Software Center pour dissimuler leurs activités malveillantes.

Points clés :

• Mode opératoire : Les attaquants utilisent des leurres “ClickFix” (souvent via des GPT personnalisés sur ChatGPT) pour inciter les victimes à exécuter un script PowerShell. Celui-ci déploie un fichier MSI malveillant qui abuse du chargement de DLL.
• Détournement : Une DLL contrefaite nommée archive.dll est placée dans le dossier de l’application légitime, laquelle la charge sans vérification préalable.
• Chaîne d’infection : L’exécution de msiexec.exe lance le fichier MSI, qui exécute ensuite SiemensSoftwareCenter.exe pour charger la DLL malveillante.

Vulnérabilité :

• CVE-2026-110936 (Score CVSS 8.4) : Vulnérabilité de détournement de DLL (DLL sideloading) permettant à un attaquant local authentifié d’exécuter du code arbitraire avec les privilèges de l’application affectée en raison d’une recherche de bibliothèque dans un chemin non sécurisé.

Recommandations :

• Mise à jour : Installer immédiatement la version 4.0.9.8 (ou supérieure) du Siemens Software Center.
• Détection : Surveiller toute exécution de SiemensSoftwareCenter.exe située dans AppData\Local\Programs et lancée par msiexec.exe.
• Blocage réseau : Bloquer les indicateurs de compromission suivants :
  • Adresses IP : 96.62.218.59, 2.27.248.127
  • Domaine : wizardexpensive.com

Source