Una vulnerabilidad de alta gravedad (CVE-2026-110936) en el Siemens Software Center está siendo explotada activamente en ataques conocidos como ClickFix. Estos ataques permiten a los ciberdelincuentes desplegar troyanos de acceso remoto (RAT) en sistemas comprometidos. La falla afecta a versiones anteriores del software de Siemens, ampliamente utilizado en entornos industriales.
La vulnerabilidad, con un puntaje CVSS v4 de 8.4, es de tipo DLL sideloading. Esto significa que un atacante local autenticado puede colocar una DLL (“Dynamic Link Library”) maliciosa, como archive.dll, en una ruta de búsqueda que la aplicación de Siemens utiliza. El software, al ejecutarse, carga la DLL fraudulenta y ejecuta código arbitrario con los mismos privilegios. Los atacantes han abusado una copia legítima y firmada del Siemens Software Center (versión 3.5.8.7) para ocultar su actividad. La campaña está vinculada a la plataforma ClickFix Romulus, que utiliza msiexec.exe para lanzar un instalador MSI que, a su vez, ejecuta el software de Siemens comprometido.
Algunas de estas campañas de ataque han utilizado tácticas de ingeniería social avanzadas, como el aprovechamiento de ChatGPT Custom GPTs maliciosos. Estos engañan a las víctimas para que visiten URLs falsas, donde son inducidas a copiar y ejecutar código PowerShell que inicia el instalador MSI y, consecuentemente, el troyano RAT. Siemens ha identificado indicadores de compromiso (IoCs) clave, incluyendo direcciones IP (96.62.218.59, 2.27.248.127) y dominios (wizardexpensive.com) usados para el alojamiento de cargas maliciosas y el comando y control.
Para mitigar el riesgo, es crucial actualizar el Siemens Software Center a la versión 4.0.9.8 o posterior, iniciando la aplicación para aplicar la actualización necesaria. Además, las organizaciones deben bloquear de inmediato las direcciones IP y dominios asociados con la actividad maliciosa en sus firewalls perimetrales. También se recomienda monitorear activamente los sistemas en busca de la ejecución de SiemensSoftwareCenter.exe desde la ruta AppData\Local\Programs cuando sea iniciado por msiexec.exe, lo cual podría indicar una infección.
Qué significa para tu empresa: Este incidente subraya la sofisticación de los ataques modernos, que explotan vulnerabilidades en software legítimo y utilizan ingeniería social avanzada. La detección temprana de procesos anómalos, la ejecución de código no autorizado y la comunicación con servidores de comando y control maliciosos es fundamental. Una protección de endpoints EDR/XDR robusta es esencial para identificar y detener estas amenazas antes de que comprometan la infraestructura, especialmente en entornos industriales donde el software de Siemens es crítico.
Fuente original: The Hacker News — ver artículo →