西门子已修复西门子软件中心（Siemens Software Center）中的一个DLL侧加载漏洞，并确认该漏洞已在ClickFix攻击中被利用。该漏洞被追踪为CVE-2026-110936，CVSS v4评分为8.4，属于高危级别。

打开网易新闻 查看精彩图片

按照西门子公告的说法，受影响应用会从不受控制的搜索路径加载动态链接库（DLL）。这允许已通过身份验证的本地攻击者将特制DLL放入应用会搜索的目录，从而以受影响应用的权限执行任意代码。该问题已在4.0.9.8版本中修复，Huntress Labs研究员Jose Oregon被记为发现并报告该漏洞的人。

在另一份警报中，西门子表示攻击者滥用了一份带有有效签名的正版西门子软件中心副本，并在其旁边放置了自己构造的DLL（“archive.dll”），以此触发恶意代码执行。西门子解释，攻击者选择这个程序作为载体，是因为它已签名且受信任，而且当时的3.5.8.7版本会从自身文件夹加载辅助文件却不做检查。

具体来看，威胁行为者被发现利用“msiexec.exe”启动“AllMyBasic.msi”，后者再执行“SiemensSoftwareCenter.exe”。相关活动被归因于一个名为Romulus的ClickFix投递平台。Forescout上周曾详细说明该平台被用于借助DLL侧加载投递Legion Loader及其他恶意软件。

据Huntress称，其中一些活动利用了恶意的ChatGPT自定义GPT，将受害者引导至一个假URL，该URL负责提供ClickFix诱饵。受害者复制并执行后，会运行PowerShell代码，投放一个滥用DLL侧加载的MSI安装程序，最终部署远程访问木马。

西门子公布了以下入侵指标：

  • 96.62.218[.]59（载荷托管与命令控制）
  • wizardexpensive[.]com（载荷托管与命令控制）
  • 2.27.248[.]127（AllMyBasic.msi的分发渠道）

除了将西门子软件中心更新至4.0.9.8或更高版本并启动应用以应用更新外，建议组织屏蔽与恶意活动相关的IP地址和域名，并留意从“AppData\Local\Programs”运行、由“msiexec.exe”启动的“SiemensSoftwareCenter.exe”。