Siemens, Software Center uygulamasını etkileyen yüksek ciddiyetteki bir DLL sideloading güvenlik açığını kapattığını ve bu açığın ClickFix saldırılarında aktif olarak istismar edildiğini duyurdu. CVE-2026-110936 olarak takip edilen ve CVSS v4 skoru 8.4 olan açık, saldırganın uygulamanın arama yaptığı bir dizine özel olarak hazırlanmış bir DLL yerleştirmesiyle güvenilir uygulama üzerinden kötü amaçlı kod çalıştırmasına olanak tanıyor. Şirket, açığın 4.0.9.8 sürümünde giderildiğini bildirirken, istismarda imzalı ve geçerli bir Siemens Software Center kopyasının taşıyıcı olarak kullanıldığını açıkladı.
Siemens tarafından yayımlanan danışma metninde, sorunun kaynağı net biçimde tanımlandı. Açıklamada, "Etkilenen uygulama dinamik bağlantı kitaplıklarını (DLL) kontrolsüz bir arama yolundan yüklüyor" ifadesine yer verildi. Şirket, "Bu durum, kimliği doğrulanmış yerel bir saldırganın uygulamanın arama yaptığı bir dizine özel olarak hazırlanmış bir DLL yerleştirmesine ve etkilenen uygulamanın ayrıcalıklarıyla rastgele kod yürütülmesine yol açabilir" uyarısında bulundu. Açığın keşfi ve bildirilmesi konusunda Huntress Labs araştırmacısı Jose Oregon'a teşekkür edildi.
Bu yöntem DLL sideloading olarak biliniyor ve özellikle imzalı, güvenilir uygulamalar üzerinden kod çalıştırma avantajı sağlıyor. Çünkü işletim sistemi ve güvenlik ürünleri, imzası geçerli olan ana uygulamayı güvenilir kabul ederken, onun yüklediği yan dosyayı aynı titizlikle denetlemeyebiliyor. Siemens'in danışma metninde vurgulandığı üzere, başarılı bir istismar durumunda kötü amaçlı kod, etkilenen hizmetle aynı ayrıcalık seviyesinde çalışıyor. Bu da saldırgana sistem üzerinde geniş yetki kazanma imkanı veriyor.
Yama, 4.0.9.8 sürümüyle yayımlandı. Siemens, bu sürüme güncelleme yapılmasını ve güncellemenin uygulanması için uygulamanın başlatılmasını öneriyor. Şirketin ayrı bir uyarısında, istismarın özellikle 3.5.8.7 sürümü üzerinde gözlendiği belirtildi. O dönemde en güncel sürüm olan 3.5.8.7'nin, yardımcı dosyaları kendi klasöründen herhangi bir kontrol yapmadan yüklediği ve bu nedenle taşıyıcı olarak seçildiği kaydedildi.
Saldırı zincirinin başlangıcında "msiexec.exe" aracının kullanıldığı tespit edildi. Buna göre, "msiexec.exe" üzerinden "AllMyBasic.msi" adlı MSI yükleyicisi çalıştırılıyor, bu yükleyici de "SiemensSoftwareCenter.exe" dosyasını yürütüyor. Böylece meşru görünen bir kurulum akışı içinde DLL sideloading tetikleniyor ve son aşamada uzaktan erişim truva atı sisteme yerleştiriliyor.
Bu faaliyet, Romulus adlı ClickFix dağıtım platformuyla ilişkilendirildi. Romulus, Forescout tarafından geçen hafta detaylandırılan bir platform olarak biliniyor ve DLL sideloading yöntemini kullanarak Legion Loader ile diğer kötü amaçlı yazılımları dağıtmak için kullanıldığı belirtiliyor. Siemens'in uyarısı ile Forescout'un analizi, aynı dağıtım altyapısının farklı kampanyalarda yeniden kullanıldığını gösteriyor.
PowerShell kodu, MSI yükleyicisini indirip çalıştırıyor. İndirilen MSI, yukarıda anlatılan DLL sideloading istismarını kötüye kullanarak nihai yükü, yani uzaktan erişim truva atını dağıtıyor. Bu akış, kullanıcının kendi eliyle komutu çalıştırmasına dayandığı için ClickFix olarak adlandırılıyor ve sosyal mühendislik ile teknik istismarı birleştiriyor. Huntress'in gözlemleri, sahte GPT'lerin yönlendirme, sahte URL'nin yem, PowerShell'in indirme ve MSI'ın da sideloading için köprü işlevi gördüğünü ortaya koyuyor.
Paylaşılan uzlaşma göstergeleri arasında 96.62.218[.]59 adresi, wizardexpensive[.]com alan adı ve 2.27.248[.]127 adresi bulunuyor. İlk ikisi yük barındırma ve komuta-kontrol altyapısı olarak, sonuncusu ise AllMyBasic.msi dosyasının dağıtım kanalı olarak listelendi. Kurumların ağ ve güvenlik kayıtlarında bu göstergeleri araması ve engelleme listelerine eklemesi isteniyor.
Bunun yanında, uç noktalarda şüpheli çalıştırma izlerinin kontrol edilmesi tavsiye ediliyor. Özellikle "SiemensSoftwareCenter.exe" dosyasının "AppData\Local\Programs" yolu altında çalışması ve "msiexec.exe" tarafından başlatılması, Siemens tarafından aranması gereken anormal davranış olarak tanımlandı. Bu tür bir çalıştırma zinciri, normal kullanımda beklenmeyen bir durum olduğu için olası bir istismar girişimine işaret edebiliyor.
Siemens tarafından yayımlanan danışma metninde, sorunun kaynağı net biçimde tanımlandı. Açıklamada, "Etkilenen uygulama dinamik bağlantı kitaplıklarını (DLL) kontrolsüz bir arama yolundan yüklüyor" ifadesine yer verildi. Şirket, "Bu durum, kimliği doğrulanmış yerel bir saldırganın uygulamanın arama yaptığı bir dizine özel olarak hazırlanmış bir DLL yerleştirmesine ve etkilenen uygulamanın ayrıcalıklarıyla rastgele kod yürütülmesine yol açabilir" uyarısında bulundu. Açığın keşfi ve bildirilmesi konusunda Huntress Labs araştırmacısı Jose Oregon'a teşekkür edildi.
CVE-2026-110936 Açığı Nasıl Çalışıyor?
Söz konusu zafiyet, uygulamanın yardımcı dosyaları yükleme biçimindeki kontrol eksikliğinden kaynaklanıyor. Siemens Software Center, çalışması için ihtiyaç duyduğu DLL dosyalarını ararken belirli bir doğrulama yapmadan kendi klasörü de dahil olmak üzere arama yolundaki dizinleri tarıyor. Saldırgan, bu davranıştan faydalanarak aynı dizine kötü amaçlı ve özel olarak hazırlanmış bir DLL bırakabiliyor. Uygulama başlatıldığında, meşru DLL yerine saldırganın yerleştirdiği dosyayı yükleyerek içerisindeki kodu yürütüyor.Bu yöntem DLL sideloading olarak biliniyor ve özellikle imzalı, güvenilir uygulamalar üzerinden kod çalıştırma avantajı sağlıyor. Çünkü işletim sistemi ve güvenlik ürünleri, imzası geçerli olan ana uygulamayı güvenilir kabul ederken, onun yüklediği yan dosyayı aynı titizlikle denetlemeyebiliyor. Siemens'in danışma metninde vurgulandığı üzere, başarılı bir istismar durumunda kötü amaçlı kod, etkilenen hizmetle aynı ayrıcalık seviyesinde çalışıyor. Bu da saldırgana sistem üzerinde geniş yetki kazanma imkanı veriyor.
Yama, 4.0.9.8 sürümüyle yayımlandı. Siemens, bu sürüme güncelleme yapılmasını ve güncellemenin uygulanması için uygulamanın başlatılmasını öneriyor. Şirketin ayrı bir uyarısında, istismarın özellikle 3.5.8.7 sürümü üzerinde gözlendiği belirtildi. O dönemde en güncel sürüm olan 3.5.8.7'nin, yardımcı dosyaları kendi klasöründen herhangi bir kontrol yapmadan yüklediği ve bu nedenle taşıyıcı olarak seçildiği kaydedildi.
ClickFix ve Romulus ile Saldırı Zinciri
Siemens'in paylaştığı ikinci uyarı, saldırının adım adım nasıl ilerlediğini ortaya koyuyor. Tehdit aktörleri, geçerli imzaya sahip gerçek bir Siemens Software Center kopyasını kullanıyor ve yanına kendi hazırladıkları "archive.dll" adlı kötü amaçlı DLL'i yerleştiriyor. Uygulama çalıştırıldığında bu sahte DLL otomatik olarak yükleniyor ve kötü amaçlı kod tetikleniyor. Saldırganların bu programı özellikle seçme nedeni, hem imzalı ve güvenilir olması hem de eski sürümün dosyaları doğrulamadan yüklemesi.Saldırı zincirinin başlangıcında "msiexec.exe" aracının kullanıldığı tespit edildi. Buna göre, "msiexec.exe" üzerinden "AllMyBasic.msi" adlı MSI yükleyicisi çalıştırılıyor, bu yükleyici de "SiemensSoftwareCenter.exe" dosyasını yürütüyor. Böylece meşru görünen bir kurulum akışı içinde DLL sideloading tetikleniyor ve son aşamada uzaktan erişim truva atı sisteme yerleştiriliyor.
Bu faaliyet, Romulus adlı ClickFix dağıtım platformuyla ilişkilendirildi. Romulus, Forescout tarafından geçen hafta detaylandırılan bir platform olarak biliniyor ve DLL sideloading yöntemini kullanarak Legion Loader ile diğer kötü amaçlı yazılımları dağıtmak için kullanıldığı belirtiliyor. Siemens'in uyarısı ile Forescout'un analizi, aynı dağıtım altyapısının farklı kampanyalarda yeniden kullanıldığını gösteriyor.
Sahte ChatGPT GPT'leri ve PowerShell ile Bulaşma
Huntress tarafından paylaşılan bulgular, kampanyaların dağıtım yöntemine dair ek bağlam sunuyor. Bazı kampanyalarda, kötü amaçlı ChatGPT Custom GPT'lerin kurbanları ClickFix tuzağını barındıran sahte bir URL'ye yönlendirmek için kullanıldığı belirlendi. Kurban, bu sahte sayfada gösterilen ClickFix yemini kopyalayıp çalıştırdığında, arka planda PowerShell kodu yürütülüyor.PowerShell kodu, MSI yükleyicisini indirip çalıştırıyor. İndirilen MSI, yukarıda anlatılan DLL sideloading istismarını kötüye kullanarak nihai yükü, yani uzaktan erişim truva atını dağıtıyor. Bu akış, kullanıcının kendi eliyle komutu çalıştırmasına dayandığı için ClickFix olarak adlandırılıyor ve sosyal mühendislik ile teknik istismarı birleştiriyor. Huntress'in gözlemleri, sahte GPT'lerin yönlendirme, sahte URL'nin yem, PowerShell'in indirme ve MSI'ın da sideloading için köprü işlevi gördüğünü ortaya koyuyor.
Güncelleme Çağrısı ve Tespit İçin Göstergeler
Siemens, istismara karşı alınması gereken önlemleri ve aranması gereken izleri de paylaştı. İlk adım olarak Siemens Software Center'ın 4.0.9.8 veya daha yeni bir sürüme güncellenmesi ve güncellemenin uygulanması için uygulamanın başlatılması gerekiyor. Şirket ayrıca, kötü amaçlı faaliyetle ilişkilendirilen IP adresleri ve alan adlarının engellenmesini öneriyor.Paylaşılan uzlaşma göstergeleri arasında 96.62.218[.]59 adresi, wizardexpensive[.]com alan adı ve 2.27.248[.]127 adresi bulunuyor. İlk ikisi yük barındırma ve komuta-kontrol altyapısı olarak, sonuncusu ise AllMyBasic.msi dosyasının dağıtım kanalı olarak listelendi. Kurumların ağ ve güvenlik kayıtlarında bu göstergeleri araması ve engelleme listelerine eklemesi isteniyor.
Bunun yanında, uç noktalarda şüpheli çalıştırma izlerinin kontrol edilmesi tavsiye ediliyor. Özellikle "SiemensSoftwareCenter.exe" dosyasının "AppData\Local\Programs" yolu altında çalışması ve "msiexec.exe" tarafından başlatılması, Siemens tarafından aranması gereken anormal davranış olarak tanımlandı. Bu tür bir çalıştırma zinciri, normal kullanımda beklenmeyen bir durum olduğu için olası bir istismar girişimine işaret edebiliyor.
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.