DLL Sideloading im Installationstool Siemens Software Center wird zum Einfallstor für Schadcode

Anbieter zum Thema

FTAPI Software GmbH

Siemens meldet aktive Angriffe auf das Software Center. Dafür brauchen Angreifer lokalen Zugriff und hohe Rechte, dennoch ist der Schweregrad hoch. Updates, Indicators of Compromise und Empfehlungen stehen bereit.

Aufgrund einer Sicherheitslücke können Cyberangreifer die Programmbibliotheken mani­pulieren, die das Siemens Software Center lädt. Es handelt sich um EUVD-2026-102072 / CVE-2026-110936 (CVSS-Score 8.4, EPSS-Score^* 0.14), die zur Ausführung von beliebigem Code führen kann. Siemens verweist im Advisory SSA-580366 auf eine bekannte aktive Aus­nutzung. Die CISA hat die Schwachstelle am 20. Oktober in ihren KEV-Katalog aufge­nommen, in den EU-KEV-Katalog kam sie einen Tag früher.

Remote Code Execution

Angreifer können Firewalls von Palo Alto Networks kapern

Code Execution via DLL Sideloading

Das Software Center ist ein Desktop-Programm, mit dem Kunden gekaufte Siemens-Software herunterladen, installieren, aktivieren und aktualisieren. Dazu zählen Engineering-Produkte aus dem Bereich Digital Industries Software wie NX, Solid Edge, Simcenter und Teamcenter. Mit dem Software Center arbeiten vor allem Unternehmen aus Branchen wie Automobil und Transport, Luft- und Raumfahrt, Elektronik und Halbleiter, Maschinen- und Anlagenbau, Energie und Versorgung, Medizintechnik, Schiffbau und Batterietechnik.

Ein angemeldeter Angreifer mit lokalem Zugriff, der EUVD-2026-102072 / CVE-2026-110936 erfolgreich ausnutzt, kann eigene DLLs ablegen, die beliebigen Code mit den Rechten der Anwendung ausführt. Siemens stuft den Angriff DLL Sideloading ein, der Schwachstellentyp heißt „Uncontrolled Search Path Element“.

Betroffen davon sind laut Siemens alle Versionen des Software Centers vor V4.0.9.8. Der Hersteller empfiehlt das Update auf V4.0.9.8 oder eine neuere Version. Alle vorhandenen Versionen aktualisieren sich laut Siemens beim nächsten Start automatisch. Die aktuelle Version lässt sich außerdem auf der Webseite des Software Centers herunterladen. Außerdem empfiehlt der Hersteller, den Netzwerkzugriff auf Geräte mit geeigneten Mechanismen zu schützen und die Umgebung nach den Betriebsrichtlinien für Industrial Security zu konfigurieren.

Neue Gefahren für Windows-Systeme

Wie Hacker DLL-Sideloading für ihre Zwecke kapern

So gehen die Angreifer vor

Siemens hat die aktive Ausnutzung der Schwachstelle bestätigt und verweist für mehr Informationen auf einen ausführlichen Blogbeitrag, wie die Angreifer vorgingen. Demnach verwendeten sie eine echte, gültig signierte Kopie des Software Centers verwendet und ihre eigenen Dateien daneben gelegt. Sie wählten das Programm, weil es signiert und ver­trau­ens­würdig ist und weil die damals aktuelle Version 3.5.8.7 lud Hilfsdateien aus ihrem eigenen Ordner, ohne sie zu prüfen. Das Siemens-Programm selbst veränderten die Angreifer nicht. Der Schadcode steckte stattdessen in den mitgelieferten DLL-Dateien, die die verwundbare Version beim Start lud. Die signierte Anwendung verbreiteten sie zusammen mit ihren Schad­pro­grammen außerhalb der offiziellen Kanäle. Das Schadpaket „AllMyBasic.msi“ verteilten sie laut Siemens über eine IP-Adresse, die inzwischen nicht mehr aktiv ist.

Siemens ordnet die Angriffe einer plattformübergreifenden ClickFix-Kampagne namens „Romulus“ zu. Bei ClickFix-Angriffen versuchen Angreifer, Nutzer dazu zu bringen, einen Befehl aus einer Webseite selbst auszuführen. Nach bisherigem Kenntnisstand von Siemens wurden weder Systeme noch Produkte oder Update-Kanäle des Unternehmens kompromittiert. Siemens tauscht sich nach eigenen Angaben mit Herstellern von EDR-Software (Endpoint Detection and Response) und mit Behörden aus, damit sich die Angriffe breiter erkennen und abgestimmt bekämpfen lassen.

EUVD-2026-101420 / CVE-2026-76519

Schwachstelle im Malware-Schutz von Cisco wird ausgenutzt

Sicherheitsempfehlungen und IoCs

Ob ein PC über EUVD-2026-102072 / CVE-2026-110936 lässt sich dem Hersteller nach anhand folgender Warnsignale erkennen:

• „Siemens Software Center“ erscheint in den Autostart-Anwendungen oder in der Aufgabenplanung eines PCs, auf dem es nie installiert wurde.

• Die Malware erstellt einen Ordner namens „SM Software Provisioning Service“ unter „AppData\Local\Programs“.

• Dateien mit den Namen „activate.bak“ oder „statinfosta.DB“ befinden sich neben der „SiemensSoftwareCenter.exe“.

• Ein Ordner namens „FTSuite“ mit einer Datei namens „ftc.uml“ ist unter „AppData\Local“ vorhanden.

• Es bestehen Netzwerkverbindungen zur IP-Adresse 96.62.218[.]59.

Anwender sollten niemals Befehle von einer Webseite in das „Ausführen“-Fenster (Win+R) oder in die PowerShell einfügen. Eine echte „Ich bin kein Roboter“-Überprüfung verlangt so etwas niemals. Sicherheitsverantwortliche sollten folgende Maßnahmen umsetzen und Empfehlungen beachten:

• Die IP-Adressen 96.62.218[.]59 und 2.27.248[.]127 sowie die Domain „wizardexpensive[.]com“ blockieren.

• Auf das Programm „SiemensSoftwareCenter.exe“ achten, wenn dieses aus dem Verzeichnis „AppData\Local\Programs“ heraus ausgeführt und durch den Windows-Installer „msiexec“ gestartet wird. Falls dies festgestellt wird: den PC isolieren, den Prozess beenden, den Autostart-Eintrag sowie die zugehörige Aufgabe entfernen und Passwörter zurücksetzen.

• Die Erkennung anhand von Ordnerstrukturen und Verhalten durchführen, nicht anhand des Dateifingerabdrucks der Siemens-Datei, da die Datei selbst legitim ist.

• Die Siemens-Software ausschließlich aus offiziellen Siemens-Quellen herunterladen. Die Angreifer haben den Analysten nach das signierte Programm zusammen mit ihren schädlichen Dateien über inoffizielle Kanäle verbreitet.

• Protokolle (Logs) nach Verbindungen zu den genannten Indikatoren durchsuchen, einschließlich des inaktiven Verbreitungskanals.

• Auf unerwartete DLL-Dateien achten, die sich neben den ausführbaren Dateien des „Siemens Software Centers“ außerhalb des Standard-Installationsverzeichnisses befinden.

• Finden Nutzer Anzeichen einer Kompromittierung, sollten sie das betroffene System isolieren und die entsprechenden Schritte des Incident-Response-Prozesses einleiten.

Im Blogbeitrag teilt Siemens zudem Indicators of Compromise:

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Mark of the Web umgangen

Angreifer nutzen Zero Day in der Windows Shell aus

(ID:50994592)