Lỗ hổng Siemens Software Center bị khai thác trong chiến dịch ClickFix phát tán mã độc

Siemens vừa xác nhận rằng tin tặc đã khai thác một lỗ hổng trong phần mềm Siemens Software Center để triển khai chiến dịch phát tán mã độc nhắm vào người dùng Windows. Điểm đáng chú ý là kẻ tấn công không xâm nhập vào hệ thống của Siemens mà lợi dụng chính bản cài đặt hợp lệ, có chữ ký số của hãng để qua mặt các giải pháp bảo mật.

Siemens Software Center

Bản chất lỗ hổng CVE-2026-110936

Siemens Software Center là công cụ quản lý việc tải xuống, cài đặt, kích hoạt và cập nhật phần mềm mà khách hàng đã mua, đồng thời hỗ trợ dùng thử miễn phí.

Lỗ hổng mang mã CVE-2026-110936 phát sinh do chương trình không giới hạn đúng các thư mục mà nó tìm kiếm tệp DLL. Một kẻ tấn công cục bộ đã xác thực có thể đặt tệp DLL độc hại vào một trong những thư mục đó, khiến mã của chúng được thực thi với cùng mức đặc quyền như Software Center.

Siemens công bố lỗ hổng vào ngày 15/10 với điểm CVSS v4 là 8.4 (mức nghiêm trọng cao). Hai ngày sau, hãng cập nhật khuyến cáo để thông báo rằng phiên bản 4.0.9.8 đã khắc phục sự cố. Người dùng đã cài đặt ứng dụng sẽ tự động nhận bản vá ở lần khởi chạy tiếp theo.

Kỹ thuật tấn công: DLL side-loading với phần mềm "sạch"

Ban đầu, khuyến cáo của Siemens không đề cập đến việc lỗ hổng bị khai thác thực tế. Đến thứ Hai, hãng mới bổ sung liên kết tới một bài viết mô tả chi tiết các cuộc tấn công.

Kẻ tấn công đã kết hợp một bản sao hợp pháp của chương trình Siemens — vốn có chữ ký số hợp lệ — với các tệp DLL độc hại do chúng tự cung cấp. Khi chương trình khởi động, nó tải các tệp này từ chính thư mục của mình.

Theo Siemens, phiên bản 3.5.8.7 (bản phát hành mới nhất tại thời điểm đó) không kiểm tra tính hợp lệ của các tệp hỗ trợ này trước khi tải chúng. Đây chính là điểm yếu bị lợi dụng.

"Không có hệ thống, sản phẩm hay kênh cập nhật nào của Siemens bị xâm nhập theo những gì chúng tôi được biết."

Siemens khẳng định phần mềm của hãng không bị can thiệp và gói độc hại không được phát tán qua các kênh phân phối chính thức.

Khuyến nghị cho đội ngũ phòng thủ

Siemens đang chia sẻ thông tin tình báo về mối đe dọa với cơ quan chức năng và các nhà cung cấp giải pháp EDR. Bài viết của hãng liệt kê các chỉ số xâm nhập (IoCs) cùng những dấu hiệu cho thấy máy tính có thể đã bị nhiễm.

Do tệp Siemens được sử dụng trong cuộc tấn công là tệp hợp lệ, hãng khuyến nghị đội ngũ bảo mật nên tập trung vào các hành vi đáng ngờ và những thư mục liên quan đến mã độc, thay vì chỉ dựa vào mã băm (hash) của tệp.

Chuyên gia phân tích bảo mật

Chuyên gia Jose Oregon của Huntress được ghi nhận là người đã báo cáo lỗ hổng cho Siemens.

Liên hệ với chiến dịch Romulus ClickFix

Siemens đã liên hệ các cuộc tấn công này với Romulus, một chiến dịch ClickFix đa nền tảng. Các cuộc tấn công ClickFix dựa trên những lời nhắc giả mạo — chẳng hạn màn hình kiểm tra CAPTCHA giả — dụ người dùng tự dán và thực thi các lệnh độc hại trên thiết bị của chính họ.

Tuần trước, Forescout công bố nghiên cứu về Romulus — một nền tảng phân phối ClickFix có khả năng cung cấp nhiều loại mã độc khác nhau. Hãng bảo mật này phát hiện nền tảng đang chạy trên nhiều máy chủ, trong đó có máy chủ mà Siemens xác định là nơi phân phối gói độc hại chứa phần mềm của hãng.

Forescout ghi nhận nền tảng này phân phối mã độc LegionLoader, cùng một trình cài đặt bị cài cắm trojan lợi dụng ứng dụng hợp pháp Stardock để thực hiện DLL side-loading.

Các nhà nghiên cứu chưa xác định được ai điều hành Romulus. Nền tảng này có thể là công cụ nội bộ, dịch vụ bán cho tội phạm mạng, chương trình tiếp thị liên kết, hoặc phần mềm bị nhiều nhóm tấn công khác nhau sao chép.

Huntress cũng mô tả gói dựa trên Stardock tương tự trong báo cáo cuối tháng 9 về một chiến dịch sử dụng các GPT tùy chỉnh giả mạo ChatGPT để dụ người dùng đến trang ClickFix. Trong các cuộc tấn công đó, những chương trình có chữ ký của Canon và sau đó là Stardock bị lạm dụng để side-load mã độc, cuối cùng triển khai một RAT (mã độc truy cập từ xa).

Huntress đã phản ứng với ít nhất 40 sự cố liên quan đến chiến dịch này và cho rằng các chương trình có chữ ký của những nhà cung cấp khác cũng có thể đang bị lạm dụng.

Siemens Software Center không được đề cập trong báo cáo của Huntress hay Forescout. Tuy nhiên, sự trùng lặp hạ tầng và cách tiếp cận side-loading tương tự cho thấy phần mềm Siemens có thể đã được bổ sung vào cùng bộ công cụ của nhóm tấn công.

Ý nghĩa với người dùng và doanh nghiệp tại Việt Nam

Vụ việc là lời nhắc nhở rằng chữ ký số hợp lệ không đồng nghĩa với an toàn tuyệt đối. Ngay cả phần mềm chính hãng từ các nhà cung cấp lớn cũng có thể bị kẻ tấn công lợi dụng khi tồn tại lỗ hổng trong cơ chế tải thư viện động.

• Người dùng Siemens Software Center nên cập nhật lên phiên bản 4.0.9.8 hoặc mới hơn ngay khi có thể.
• Doanh nghiệp sử dụng phần mềm công nghiệp của Siemens cần rà soát các thư mục cài đặt để phát hiện tệp DLL lạ.
• Cảnh giác với các trang yêu cầu dán lệnh vào hộp thoại Run hoặc PowerShell để "xác minh CAPTCHA" — đây là dấu hiệu điển hình của bẫy ClickFix.
• Ưu tiên giám sát hành vi thay vì chỉ dựa vào danh sách hash tệp, vì mã độc có thể khoác lớp vỏ là tệp hợp lệ.

SecurityWeek

Với các tổ chức vận hành hạ tầng công nghiệp và hệ thống điều khiển tại Việt Nam — vốn thường xuyên sử dụng phần mềm Siemens trong môi trường OT — việc cập nhật bản vá và siết chặt giám sát các thư mục tải DLL là bước phòng thủ cần được ưu tiên.