„Die betroffene Anwendung lädt Dynamic-Link-Libraries (DLLs) aus einem unkontrollierten Suchpfad", heißt es in einem Sicherheitshinweis von Siemens. „Dies könnte es einem authentifizierten lokalen Angreifer ermöglichen, eine speziell präparierte DLL in einem Verzeichnis abzulegen, das die Anwendung durchsucht, was zur Ausführung beliebigen Codes mit den Rechten der betroffenen Anwendung führt."

Behoben ist das Problem in Version 4.0.9.8. Als Entdecker und Melder der Schwachstelle nennt Siemens den Huntress-Labs-Forscher Jose Oregon.

In einer gesonderten Warnung beschreibt Siemens, dass Angreifer eine echte, gültig signierte Kopie des Siemens Software Center missbrauchten und eine selbst erstellte DLL namens „archive.dll" daneben ablegten, um die Ausführung von Schadcode auszulösen. „Sie haben dieses Programm als Träger gewählt, weil es signiert und vertrauenswürdig ist und weil Version 3.5.8.7, die zu diesem Zeitpunkt aktuellste Version, Hilfsdateien aus dem eigenen Ordner lud, ohne sie zu prüfen", so Siemens.

Konkret setzten die Akteure „msiexec.exe" ein, um „AllMyBasic.msi" zu starten, das wiederum „SiemensSoftwareCenter.exe" ausführt. Zugeschrieben wird die Aktivität einer ClickFix-Auslieferungsplattform namens Romulus, die Forescout vergangene Woche beschrieben hat und die Legion Loader sowie weitere Schadsoftware per DLL-Sideloading verteilt.

Nach Angaben von Huntress nutzten einige dieser Kampagnen bösartige ChatGPT Custom GPTs, um Opfer auf eine gefälschte URL mit einem ClickFix-Köder zu leiten. Wird dieser vom Opfer kopiert und ausgeführt, startet PowerShell-Code, der einen MSI-Installer ablegt; dieser missbraucht DLL-Sideloading und installiert schließlich einen Remote-Access-Trojaner.

Siemens nennt folgende Kompromittierungsindikatoren:

  • 96.62.218[.]59 (Hosting der Schadsoftware und Command-and-Control)
  • wizardexpensive[.]com (Hosting der Schadsoftware und Command-and-Control)
  • 2.27.248[.]127 (Verteilweg für AllMyBasic.msi)

Neben dem Update des Siemens Software Center auf Version 4.0.9.8 oder höher – wofür die Anwendung gestartet werden muss, um die Aktualisierung anzuwenden – wird Organisationen empfohlen, die genannten IP-Adressen und Domains zu blockieren und nach „SiemensSoftwareCenter.exe" zu suchen, das aus „AppData\Local\Programs" läuft und von „msiexec.exe" gestartet wurde.