O Siemens Software Center está no centro de uma campanha de ciberataques que combina uma vulnerabilidade de carregamento lateral de DLL (DLL Sideloading) com técnicas de engenharia social para instalar trojans de acesso remoto (RATs). A estratégia chama a atenção porque utiliza um executável legítimo e assinado digitalmente para facilitar a execução de componentes maliciosos, enquanto induz as próprias vítimas a iniciar etapas da infecção.
A campanha envolve a vulnerabilidade CVE-2026-110936 e ataques do tipo ClickFix, nos quais criminosos convencem usuários a copiar e executar comandos no Windows sob o pretexto de corrigir um problema, liberar uma funcionalidade ou concluir uma verificação. Outro elemento preocupante é o uso de GPTs personalizados falsos no ChatGPT para direcionar as vítimas a páginas fraudulentas e dar credibilidade às instruções maliciosas.
Para administradores de sistemas, equipes de segurança e profissionais de infraestrutura, o caso reforça uma lição importante: a assinatura digital de um programa não garante que todos os arquivos carregados por ele sejam confiáveis. Entender a cadeia de execução, atualizar o software afetado e monitorar comportamentos suspeitos são medidas essenciais para reduzir o risco de comprometimento.
Como funciona a vulnerabilidade de DLL Sideloading no Siemens Software Center
O DLL Sideloading é uma técnica na qual um invasor explora a maneira como um aplicativo legítimo procura e carrega bibliotecas dinâmicas do Windows, conhecidas como DLLs (Dynamic Link Libraries). Em vez de explorar necessariamente uma falha que permita executar código diretamente, o criminoso posiciona uma biblioteca maliciosa em um local no qual o programa vulnerável possa encontrá-la e carregá-la.
No caso atribuído à CVE-2026-110936, a exploração envolve o Siemens Software Center e a possibilidade de carregar uma DLL maliciosa por meio de caminhos de busca que não são adequadamente controlados. A vulnerabilidade foi descrita com uma pontuação CVSS 8.4, indicativa de alta gravidade, mas a avaliação do risco real também depende das condições de exploração, dos privilégios disponíveis e das proteções existentes no ambiente.
Esse tipo de problema merece atenção porque pode permitir que um arquivo malicioso aproveite a reputação de um programa conhecido para executar código no sistema. Em ambientes corporativos, nos quais ferramentas de engenharia, automação e gerenciamento de software podem ter permissões relevantes, a consequência potencial vai além de uma infecção isolada.
O papel do executável assinado e confiável
A cadeia de ataque descrita utiliza uma cópia legítima do SiemensSoftwareCenter.exe acompanhada de uma biblioteca maliciosa identificada como archive.dll. Quando o executável é iniciado nas condições adequadas, ele pode procurar uma DLL com determinado nome e carregá-la a partir de um diretório controlado pelo invasor.
A assinatura digital do executável não torna automaticamente confiável a biblioteca encontrada ao lado dele. A assinatura comprova a identidade do editor e a integridade do arquivo assinado, mas não atesta a segurança de todos os componentes externos que o programa possa carregar durante sua execução.
Essa diferença é fundamental para a defesa. Ferramentas de segurança que se limitam a verificar se um processo foi iniciado por um fabricante conhecido podem não identificar imediatamente uma cadeia de execução que combina um binário legítimo com uma DLL não confiável.
Por isso, a análise precisa considerar também o caminho do executável, a origem dos arquivos associados, a assinatura das bibliotecas carregadas e o comportamento do processo. Um programa legítimo executado a partir de um diretório temporário ou de uma pasta gravável pelo usuário pode exigir uma investigação adicional.
A cadeia de execução do malware
A campanha também foi associada ao arquivo de instalação AllMyBasic.msi, executado por meio do msiexec.exe, componente legítimo do Windows responsável pelo gerenciamento de pacotes do Windows Installer.
O uso de ferramentas nativas do sistema ajuda os invasores a misturar atividades maliciosas com operações aparentemente normais. O msiexec.exe, por si só, não é um indicador de comprometimento. O contexto é que determina o risco: a origem do pacote MSI, o processo que iniciou a instalação, os argumentos utilizados e os arquivos criados durante a execução.
A atividade descrita inclui ainda a plataforma de distribuição de malware Romulus, associada ao Legion Loader. Nesse tipo de operação, um carregador pode preparar o ambiente, buscar componentes adicionais ou iniciar outras etapas da infecção. O objetivo final pode incluir a implantação de um RAT, capaz de permitir que um operador remoto execute comandos, colete informações e mantenha acesso ao equipamento comprometido.
A presença de um instalador MSI desconhecido, combinada com a execução incomum do Siemens Software Center e o carregamento de uma DLL fora de um diretório esperado, deve ser tratada como um sinal de alerta. A investigação precisa reconstruir a sequência completa dos processos, em vez de analisar cada arquivo isoladamente.
Como os GPTs personalizados falsos alimentam os ataques ClickFix
A vulnerabilidade técnica é apenas uma parte do problema. Para que a cadeia de infecção funcione, os criminosos precisam convencer alguém a executar o conteúdo inicial. É nesse ponto que entra o ClickFix, uma técnica de engenharia social que transforma uma ação aparentemente inofensiva em uma porta de entrada para o malware.
O golpe costuma apresentar uma página com uma falsa verificação de segurança, uma suposta correção de erro ou instruções para desbloquear determinado recurso. A vítima recebe a orientação de copiar um comando, abrir uma ferramenta do Windows e executá-lo manualmente. Em vez de explorar exclusivamente uma falha técnica, o ataque utiliza a própria interação do usuário para iniciar a execução.
Como os falsos GPTs convencem as vítimas
Uma variação particularmente preocupante envolve GPTs personalizados maliciosos no ChatGPT. Esses assistentes podem ser apresentados como ferramentas especializadas para resolver problemas técnicos, oferecer suporte a softwares ou automatizar tarefas. Na prática, podem direcionar o usuário para páginas externas fraudulentas que hospedam instruções de ClickFix.
O uso de uma interface conhecida ajuda a construir uma falsa sensação de legitimidade. Usuários que procuram respostas para um problema específico podem acreditar que encontraram uma ferramenta útil, especialmente quando as instruções são apresentadas em linguagem técnica convincente.
Entretanto, a presença de um GPT personalizado no ChatGPT não comprova que ele seja seguro ou tenha sido verificado como confiável. Da mesma forma, uma página com aparência profissional não garante que os comandos fornecidos sejam legítimos.
Na campanha descrita, a sequência pode envolver o acesso à página fraudulenta, a cópia de um comando e sua execução no PowerShell. O script inicia o download ou a execução de componentes adicionais, incluindo o pacote MSI utilizado para introduzir o executável legítimo da Siemens e a DLL maliciosa.
Esse mecanismo reduz a necessidade de explorar diretamente o navegador da vítima. O usuário acaba participando involuntariamente da primeira etapa da infecção, enquanto as fases seguintes utilizam ferramentas legítimas do Windows e o carregamento lateral de DLLs.
A regra prática é simples: nunca execute comandos copiados de páginas desconhecidas apenas porque elas afirmam que isso é necessário para validar sua identidade, corrigir um erro ou liberar uma funcionalidade. Verificações legítimas de CAPTCHA não exigem que o usuário cole scripts arbitrários no PowerShell ou na janela Executar do Windows.
Como proteger o ambiente contra a vulnerabilidade no Siemens Software Center
A mitigação exige uma combinação de atualização, controle de execução, monitoramento de rede e conscientização dos usuários. Como a exploração já foi confirmada, organizações que utilizam o Siemens Software Center devem tratar o assunto como uma prioridade de segurança.
Atualize o software para a versão corrigida
A primeira medida é atualizar o Siemens Software Center para a versão 4.0.9.8 ou superior. Todas as versões anteriores estão identificadas como afetadas pela CVE-2026-110936.
Segundo a Siemens, as instalações existentes recebem a atualização automaticamente na próxima inicialização do aplicativo. Ainda assim, os administradores devem verificar se o processo foi concluído e confirmar a versão instalada, em vez de presumir que todos os computadores estejam protegidos.
Em redes corporativas, essa validação deve incluir estações de trabalho de engenharia, máquinas administrativas e equipamentos que raramente são reiniciados. Também é importante garantir que os instaladores utilizados sejam obtidos exclusivamente por canais oficiais.
Bloqueie indicadores de comprometimento conhecidos
A Siemens divulgou indicadores de rede relacionados à campanha que podem ajudar as equipes de segurança a identificar comunicações suspeitas. Entre eles estão:
- Endereço IP: 96.62.218[.]59, associado à hospedagem de cargas maliciosas e à comunicação de comando e controle.
- Domínio: wizardexpensive[.]com, também associado à hospedagem de conteúdo malicioso e à infraestrutura de comando e controle.
- Endereço IP: 2.27.248[.]127, identificado como canal de distribuição do pacote AllMyBasic.msi, considerado inativo no momento da divulgação.
As equipes devem avaliar o bloqueio desses indicadores em firewalls, proxies, sistemas DNS e plataformas de detecção e resposta a ameaças. Também precisam pesquisar registros históricos para identificar possíveis conexões anteriores.
Esses indicadores podem mudar ou deixar de ser utilizados pelos atacantes. Portanto, a ausência de comunicação com os endereços conhecidos não descarta uma infecção, e os bloqueios devem complementar, não substituir, as atualizações e a análise comportamental.
Procure sinais de comprometimento no Windows
A investigação deve priorizar a origem dos processos, os arquivos carregados e os mecanismos de persistência. Alguns sinais específicos merecem atenção:
- SiemensSoftwareCenter.exe executado a partir de AppData\Local\Programs, especialmente quando iniciado pelo msiexec.exe sem uma justificativa operacional.
- Uma entrada inesperada do Siemens Software Center nos aplicativos de inicialização ou no Agendador de Tarefas de um computador que não deveria ter o programa instalado.
- A criação da pasta SM Software Provisioning Service dentro de AppData\Local\Programs.
- Os arquivos activate.bak ou statinfosta.DB encontrados ao lado do executável suspeito.
- Uma pasta chamada FTSuite, contendo o arquivo ftc.uml, dentro de AppData\Local.
Esses elementos devem ser correlacionados com horários de execução, registros do PowerShell, eventos do Windows, alertas de antivírus e conexões de rede. A existência de um único arquivo não confirma necessariamente o comprometimento, mas a combinação de vários indicadores justifica uma investigação imediata.
As ferramentas de EDR (detecção e resposta em endpoints) também devem ser configuradas para observar comportamentos suspeitos, como executáveis legítimos iniciados a partir de diretórios graváveis pelo usuário, carregamento de DLLs inesperadas e criação de tarefas agendadas sem justificativa.
É importante evitar uma estratégia baseada exclusivamente no hash ou na assinatura do executável da Siemens. O arquivo pode ser genuíno, enquanto a biblioteca carregada e os demais componentes da cadeia são maliciosos.
O que fazer se houver suspeita de infecção
Se um computador apresentar esses sinais, a equipe de segurança deve isolar o equipamento da rede, seguindo os procedimentos de resposta a incidentes da organização. O objetivo é limitar a comunicação com a infraestrutura dos criminosos e evitar que o invasor amplie o acesso.
Antes de remover arquivos ou reinstalar o sistema, é recomendável preservar evidências relevantes, incluindo registros de eventos, alertas de segurança, processos ativos e informações sobre os arquivos encontrados. A análise deve determinar se houve execução de comandos, roubo de credenciais ou instalação de mecanismos de persistência.
Após conter a ameaça, os responsáveis devem avaliar a necessidade de redefinir senhas, revogar sessões e tokens e verificar outras máquinas que tenham acessado os mesmos endereços ou recebido arquivos semelhantes. Se houver evidências de acesso remoto não autorizado, a simples remoção da DLL não deve ser considerada suficiente para declarar o ambiente seguro.
Uma ameaça que combina confiança digital e engenharia social
A exploração da CVE-2026-110936 demonstra como falhas aparentemente específicas podem ganhar escala quando combinadas com técnicas modernas de engenharia social. O uso de um executável assinado da Siemens, bibliotecas maliciosas, instaladores MSI e comandos PowerShell cria uma cadeia na qual diferentes etapas podem parecer legítimas quando examinadas separadamente.
O envolvimento de GPTs personalizados falsos também reforça que as ameaças digitais estão explorando não apenas vulnerabilidades de software, mas a confiança que as pessoas depositam em ferramentas conhecidas e respostas geradas por inteligência artificial.
Para administradores e profissionais de segurança, a prioridade é atualizar o Siemens Software Center para a versão 4.0.9.8 ou superior, procurar indicadores de comprometimento e revisar os mecanismos de monitoramento de processos e conexões de rede. Para os usuários, a principal defesa é não executar comandos recebidos de páginas desconhecidas, mesmo quando as instruções parecem profissionais.
Acompanhar alertas de segurança, aplicar correções rapidamente e adotar uma política de confiança mínima para executáveis e bibliotecas são medidas fundamentais para reduzir a exposição. Continue acompanhando o SempreUpdate para saber mais sobre vulnerabilidades, campanhas de malware e práticas de proteção para ambientes corporativos.