Recientes campañas de malware han demostrado que los atacantes están aprovechando una vulnerabilidad en el Siemens Software Center para ejecutar código malicioso en entornos Windows. La técnica consiste en emparejar el binario legítimo y firmado de Siemens con bibliotecas DLL modificadas, logrando un sideloading que pasa inadvertido por las defensas tradicionales. Este método permite que el ClickFix se instale y opere con los privilegios del software original, aumentando su capacidad de persistencia y evasión. La explotación de esta vulnerabilidad subraya la necesidad de revisar los procesos de confianza en software de terceros.

Qué sabemos

Según el reporte de SecurityWeek, los actores detrás de la campaña ClickFix han identificado una falla en el Siemens Software Center que les permite cargar DLLs no firmadas junto al ejecutable legítimo. La vulnerabilidad no está detallada públicamente, pero su explotación se basa en la capacidad del instalador de Siemens para buscar y cargar módulos auxiliares sin validar su origen. Al combinar el binario firmado con una DLL maliciosa, el malware consigue ejecutarse con la confianza que el sistema otorga al software de Siemens.

El objetivo principal de la campaña son sistemas Windows en entornos industriales y corporativos que utilizan el software de Siemens para gestión de dispositivos y actualizaciones. La ausencia de controles de integridad en la carga de módulos hace que la amenaza sea particularmente eficaz en organizaciones que confían implícitamente en la firma digital del instalador, sin inspeccionar los componentes adicionales que se cargan en tiempo de ejecución.

Análisis técnico

El vector de ataque se basa en la técnica de DLL sideloading, donde el atacante coloca una DLL maliciosa en una ubicación que el proceso legítimo busca al iniciar. En este caso, el binario de Siemens Software Center está firmado por Siemens, lo que permite que el sistema operativo lo ejecute sin levantar sospechas. Sin embargo, el proceso no verifica la firma de las DLL auxiliares, lo que abre la puerta a la inyección de código.

Los indicadores de compromiso (IoC) observados incluyen la presencia de archivos DLL con nombres similares a los módulos de Siemens pero con hash diferente, y la creación de procesos hijos que ejecutan comandos de PowerShell o cmd.exe para descargar payloads adicionales. La persistencia se logra mediante la modificación de claves del registro que apuntan a la DLL maliciosa, garantizando que el código se cargue en cada reinicio del software.

El impacto potencial incluye ejecución de código arbitrario con los privilegios del usuario que ejecuta el instalador, posible escalada de privilegios y movimiento lateral dentro de la red. Dado que el software de Siemens suele operar con permisos elevados para gestionar dispositivos críticos, la explotación puede comprometer la integridad de sistemas de control y datos sensibles.

Qué deben hacer los equipos de seguridad

  • Revisar los logs de instalación del Siemens Software Center en busca de rutas de carga de DLL inesperadas.
  • Implementar control de integridad de archivos (FIM) que verifique la firma de todas las DLL cargadas por procesos firmados.
  • Aplicar políticas de restricción de ejecución (AppLocker o Windows Defender Application Control) que limiten la carga de módulos a ubicaciones aprobadas.
  • Actualizar el software de Siemens a la última versión disponible y aplicar los parches que el fabricante haya publicado para mitigar la vulnerabilidad.
  • Realizar análisis de comportamiento en endpoints para detectar patrones de sideloading y ejecución de PowerShell no autorizado.
Fuente: SecurityWeek