Siemens informó que actores maliciosos han explotado una vulnerabilidad en Siemens Software Center como parte de una campaña que usa señuelos ClickFix para convencer a usuarios de ejecutar código en sus equipos.
Qué ocurre y cómo se abusan de la aplicación
Siemens Software Center es la utilidad que gestiona la descarga, instalación, activación y actualización de software comercial y pruebas gratuitas de la compañía. La falla se debe a que el programa no restringe correctamente las ubicaciones desde las que carga bibliotecas dinámicas (DLL). Un atacante con acceso local autenticado podía colocar una DLL maliciosa en una de esas carpetas y lograr que el Software Center ejecute código con los mismos privilegios de la aplicación.
Detalles de la campaña y técnicas empleadas
Según la nota pública de Siemens y el seguimiento de proveedores de seguridad, los atacantes combinaron una copia legítima y firmada del Software Center con DLLs maliciosas colocadas en la misma carpeta. Al iniciarse la aplicación, ésta cargó las DLL del atacante en lugar de validar y rechazar esas librerías auxiliares.
Siemens indicó que su binario legítimo no fue manipulado ni distribuido por sus canales; el paquete malicioso se creó fuera de su infraestructura. La versión afectada mencionada por la compañía no validaba esos archivos auxiliares antes de cargarlos.
Vínculo con campañas ClickFix y Romulus
La firma atribuye los ataques a Romulus, una plataforma vinculada a campañas ClickFix. Las campañas ClickFix engañan a usuarios con avisos falsos —por ejemplo, comprobaciones tipo CAPTCHA falsas— que les piden pegar y ejecutar comandos dañinos en sus propios equipos. Investigadores previos han documentado que Romulus ha servido distintos cargadores y troyanos, y que puede distribuir instaladores trojanizados que abusan de aplicaciones legítimas firmadas para cargar DLLs maliciosas.
Indicadores, detección y respuesta recomendada
Siemens comparte indicadores de compromiso (IoC) y señales de infección en su blog y colabora con autoridades y proveedores de EDR. Dado que la copia legítima del Software Center conserva su firma válida, la compañía recomienda centrarse en la detección del comportamiento sospechoso y en monitorear las carpetas asociadas con la carga de DLLs en lugar de confiar únicamente en hashes de archivo.
Si usted administra equipos o servidores, las acciones prácticas son:
- Verificar la versión instalada del Software Center y actualizar a la versión que Siemens ha publicado como correctora; los usuarios con la app instalada recibirán el parche automáticamente al iniciar la aplicación.
- Auditar las carpetas desde las que la aplicación puede cargar DLLs y restringir permisos de escritura a usuarios no administrativos para evitar que se planten bibliotecas maliciosas.
- Configurar detección basada en comportamiento (EDR) para identificar cargas dinámicas de DLL sospechosas, procesos hijos inusuales y ejecución de comandos procedentes de interacciones con páginas ClickFix o similares.
- Formar a usuarios para no pegar ni ejecutar comandos proporcionados por páginas web o diálogos no verificados; las técnicas ClickFix dependen del engaño directo al usuario.
Responsabilidad y origen del reporte
El descubrimiento de la vulnerabilidad fue reportado a Siemens por el investigador Jose Oregon de Huntress, según la compañía. Siemens también indica que comparte la inteligencia recopilada con proveedores de seguridad y las autoridades para mitigar la campaña.
Las investigaciones de firmas como Forescout y Huntress han mostrado que la misma metodología —uso de binarios firmados legítimos para facilitar side-loading de DLLs— se ha reutilizado con otras aplicaciones en campañas relacionadas, lo que sugiere que los atacantes integran nuevas aplicaciones firmadas en su repertorio para evadir detección basada en firmas.
Lee también:
- Explotan las fallas ‘Plex2Shell’ para instalar mineros y un proxy inverso en Linux
- Bitwarden traslada sus compilaciones oficiales a licencia comercial pero mantendrá el código GPLv3 en GitHub
Fuente: SecurityWeek
