أعلنت شركة Siemens معالجة ثغرة أمنية عالية الخطورة في تطبيق Siemens Software Center بعد رصد استغلالها فعليًا ضمن هجمات تعتمد على أسلوب ClickFix الخادع، حيث استغل مهاجمون الخلل لنشر برمجيات وصول عن بُعد تمنحهم القدرة على التحكم في الأجهزة المستهدفة.
وتأتي هذه التطورات في وقت تتزايد فيه حملات ClickFix عالميًا، بعدما تحولت من مجرد حيلة هندسة اجتماعية إلى آلية متكاملة لاختراق الأنظمة وتوزيع البرمجيات الخبيثة، مستفيدة من ثقة المستخدمين في التطبيقات الشرعية والموقعة رقميًا.
ثغرة DLL Sideloading تهدد مستخدمي Siemens Software Center
تحمل الثغرة المعرف CVE-2026-110936 وحصلت على درجة خطورة مرتفعة بلغت 8.4 وفق نظام CVSS v4، وتتمثل في خلل يسمح بتحميل مكتبات DLL من مسارات غير خاضعة للتحكم أو التحقق الكافي.
ويعني ذلك عمليًا أن المهاجم الذي يمتلك وصولًا محليًا إلى الجهاز يمكنه وضع ملف DLL خبيث داخل أحد المجلدات التي يبحث فيها التطبيق تلقائيًا عن المكتبات المساعدة، ما يؤدي إلى تشغيل الشيفرة الضارة بالامتيازات نفسها التي يعمل بها التطبيق.
وأوضحت سيمنس أن الإصدارات المتأثرة كانت تعتمد على آلية تحميل ملفات مساعدة من المجلد المحلي دون التحقق من سلامتها أو مصدرها، وهو ما فتح الباب أمام المهاجمين لاستغلال التطبيق كوسيلة موثوقة لتشغيل تعليمات برمجية ضارة دون إثارة الشكوك الأمنية.
وقد أصدرت الشركة الإصدار 4.0.9.8 لسد الثغرة وإزالة آلية التحميل غير الآمنة التي استُخدمت في الهجمات.
استغلال النسخة الأصلية من البرنامج لتنفيذ البرمجيات الخبيثة
اللافت في الهجمات المكتشفة أن المهاجمين لم يعتمدوا على نسخ مزيفة أو معدلة من التطبيق، بل استخدموا نسخة أصلية وموقعة رقميًا من برنامج Siemens Software Center، ثم وضعوا بجوارها ملف DLL خبيث يحمل الاسم archive.dll.
وتكمن خطورة هذا الأسلوب في أن التطبيقات الموقعة رقميًا تحظى عادة بمستوى مرتفع من الثقة لدى أنظمة الحماية والمستخدمين على حد سواء. وعند تشغيل التطبيق الشرعي، يقوم تلقائيًا بتحميل المكتبة الخبيثة المجاورة له نتيجة خلل البحث عن ملفات DLL، ما يؤدي إلى تنفيذ الشيفرة الضارة دون ظهور أي مؤشرات واضحة على الاختراق.
ووفقًا لتحليلات سيمنس، اختار المهاجمون البرنامج تحديدًا لأنه موثوق وموقع رسميًا، إضافة إلى أن الإصدار 3.5.8.7، وهو أحدث إصدار متوفر وقت بدء الحملة، كان يسمح بتحميل المكتبات من مجلد التشغيل مباشرة دون تدقيق كافٍ.
منصة ROMULUS تقف وراء الهجمات
ربطت التحقيقات الأمنية النشاط الحالي بمنصة توزيع البرمجيات الخبيثة ROMULUS، التي كشف باحثو شركة Forescout تفاصيلها مؤخرًا باعتبارها نظامًا متخصصًا في استغلال حملات ClickFix لنشر برمجيات خبيثة متعددة.
وتُظهر سلسلة الإصابة أن الضحية يتم خداعها أولًا لتنفيذ أوامر PowerShell عبر صفحات ClickFix مزيفة. وبعد ذلك يتم تنزيل ملف تثبيت MSI يحمل اسم AllMyBasic.msi وتشغيله باستخدام أداة Windows الشرعية msiexec.exe.
وبمجرد اكتمال التنفيذ، يتم إطلاق SiemensSoftwareCenter.exe إلى جانب ملف DLL الخبيث الذي يستغل الثغرة الأمنية ويبدأ بتحميل حمولات إضافية، من بينها أحصنة طروادة الخاصة بالوصول عن بُعد.
وتشير التحقيقات إلى أن بعض الحملات استخدمت نسخًا خبيثة من أدوات ChatGPT Custom GPTs لاستدراج الضحايا نحو روابط مزيفة تستضيف صفحات ClickFix، ما يعكس استمرار توجه المهاجمين نحو استغلال الثقة المتزايدة في تطبيقات الذكاء الاصطناعي والخدمات الرقمية المعروفة.
مؤشرات اختراق وتوصيات للحماية
نشرت سيمنس مجموعة من مؤشرات الاختراق المرتبطة بالحملة لمساعدة المؤسسات على اكتشاف أي نشاط مشبوه داخل بيئاتها الرقمية.
ومن أبرز هذه المؤشرات عنوان الإنترنت 96.62.218[.]59 المستخدم لاستضافة الحمولات الخبيثة وخوادم القيادة والتحكم، إلى جانب النطاق wizardexpensive[.]com المستخدم للغرض نفسه، فضلًا عن العنوان 2.27.248[.]127 المرتبط بتوزيع ملف التثبيت الضار AllMyBasic.msi.
كما أوصت الشركة المؤسسات بتحديث تطبيق Siemens Software Center فورًا إلى الإصدار 4.0.9.8 أو الإصدارات الأحدث، مع التأكد من تشغيل التطبيق لإكمال عملية التحديث.
ونصحت أيضًا بحظر جميع عناوين الإنترنت والنطاقات المرتبطة بالحملة الخبيثة، ومراقبة ظهور العملية SiemensSoftwareCenter.exe إذا كانت تعمل من المسار AppData\Local\Programs أو إذا جرى إطلاقها بواسطة العملية msiexec.exe، إذ يمكن أن يمثل ذلك مؤشرًا قويًا على وجود محاولة استغلال أو إصابة فعلية.
وتسلط هذه الحادثة الضوء على تصاعد مخاطر تقنيات DLL Sideloading التي ما تزال تُعد من أكثر أساليب الاختراق فاعلية، خاصة عندما تقترن بتطبيقات موثوقة وموقعة رقميًا، وهو ما يمنح المهاجمين فرصة لتجاوز الضوابط الأمنية التقليدية وتشغيل برمجياتهم داخل بيئات العمل دون إثارة الشبهات.
