CVE-2026-110936: Siemens 소프트웨어 센터의 결함이 ClickFix 공격에서 악용됨

Siemens는 고위험 DLL 사이드 로딩 취약점의 적극적인 악용을 Siemens Software Center에서 확인했습니다. 이는 Siemens 소프트웨어 다운로드, 설치, 활성화 및 업데이트에 사용되는 데스크톱 애플리케이션입니다. CVE-2026-110936으로 추적되고 CVSS v4.0에서 8.4로 평가된 이 결함은 제어되지 않은 DLL 검색 경로에서 비롯되어 영향을 받는 애플리케이션의 권한으로 임의 코드 실행을 초래할 수 있습니다.

이 취약점은 Siemens에 의해 Romulus 배포 플랫폼과 연결된 ClickFix 활동에서 이미 무기화되었습니다. 관찰된 공격에서 위협 행위자는 Siemens 실행 파일 자체를 수정하는 대신 공격자가 제어하는 DLL 파일과 함께 합법적이고 디지털 서명된 Siemens Software Center 사본을 사용했습니다. Siemens는 시스템, 제품 및 공식 업데이트 채널이 침해되지 않았다고 강조했습니다.

CVE-2026-110936 탐지 콘텐츠를 찾는 보안 팀은 SOC Prime의 AI-기반 탐지 인텔리전스 플랫폼을 활용하여 취약점 악용, DLL 사이드 로딩, 의심스러운 프로세스 실행 및 관련 사후 침해 행동에 대한 가시성을 강화할 수 있습니다.

클릭 탐지 콘텐츠 탐색 관련 탐지 콘텐츠에 액세스하고 새로 발생하는 악성 활동을 검색합니다. CVE-2026-110936 공격 및 관련 공격 패턴을 탐지하려면 방어자는 서명된 Siemens 실행 파일의 해시를 독점적으로 신뢰하지 말고 행동 기반 분석을 우선해야 합니다.

SOC Prime의 탐지는 여러 SIEM, EDR 및 데이터 레이크 기술에 적용할 수 있고 MITRE ATT&CK® 프레임워크에 맞게 조정할 수 있습니다. 보안 팀은 또한 Prime Architect 및 Uncoder AI 기능을 활용하여 새 위협 인텔리전스 및 지표를 사냥 쿼리로 변환하고 탐지 로직을 정제하며 탐지 엔지니어링 워크플로를 가속화할 수 있습니다.

영업 문의

CVE-2026-110936 분석

CVE-2026-110936은 영향을 미칩니다. Siemens Software Center 버전 4.0.9.8 이전 버전. Siemens는 이 취약점을 CWE-427, 제어되지 않은 검색 경로 요소로 분류합니다. 영향을 받는 애플리케이션은 인증된 로컬 공격자가 검색 디렉토리에 특수하게 제작된 라이브러리를 배치하고 Siemens Software Center 권한으로 코드를 실행할 수 있도록 잠재적으로 DLL 파일을 적절히 제한되지 않은 위치에서 검색할 수 있습니다.

활성 캠페인은 이러한 취약점이 소셜 엔지니어링 기반 악성 코드 체인에 어떻게 통합될 수 있는지를 보여줍니다. 공격자는 유효한 디지털 서명을 보유한 진정한 Siemens Software Center 실행 파일과 악성 DLL 파일을 함께 배포했습니다. Siemens에 따르면 관찰된 공격 당시 최신 릴리스인 버전 3.5.8.7은 실행 파일과 함께 위치한 보조 파일을 먼저 검증하지 않고 로드했습니다.

그 결과, 정당한 Siemens 실행 파일 자체는 수정되지 않았습니다. 대신 실행 시 Software Center가 로드되는 공격자가 제공한 DLL 파일 내부에 악성 기능이 있었습니다. 이 접근 방식은 공격자가 신뢰할 수 있는 서명된 애플리케이션과 연관된 신뢰를 악용하면서도 공격자가 제어하는 코드를 실행할 수 있도록 허용합니다.

Hacker News는 공격 체인에서 msiexec.exe를 사용하여 AllMyBasic.msi를 실행하고 SiemensSoftwareCenter.exe를 실행했다고 보도했습니다. Siemens는 이 캠페인과 관련된 악성 구성 요소 중 하나로 archive.dll을 확인했습니다.

Siemens는 이 활동을 Romulus, 다중 플랫폼 ClickFix 배포 운영 시스템에 속한다고 확인했습니다. ClickFix 공격은 일반적으로 피해자에게 위장된 프롬프트를 제공하여 사용자가 악성 명령을 복사하고 직접 실행하도록 설득합니다. 관련 Romulus 활동 또한 LegionLoader를 배포하고 다른 공급자의 서명된 애플리케이션을 악용하여 DLL 사이드 로딩을 수행했습니다.

제공된 보고서는 CVE-2026-110936의 공개 PoC를 설명하지 않습니다. 그러나 이 경우 Siemens가 이미 실제 공격에서 취약점의 악용을 확인했기 때문에 개념 증명의 가용성은 덜 중요합니다.

Siemens가 발표한 CVE-2026-110936 IoC에는 페이로드 호스팅 및 명령 및 제어에 사용된 96.62.218[.]59가 포함되며, wizardexpensive[.]com은 페이로드 호스팅 및 C2에 관련되어 있으며, 악성 AllMyBasic.msi 패키지를 배포하는 데 사용된 2.27.248[.]127이 포함됩니다.

CVE-2026-110936에 대해 발표된 세부사항은 손상된 시스템을 식별하는 데 도움이 될 수 있는 여러 호스트 아티팩트를 강조합니다. 여기에는 AppDataLocalPrograms에서 실행되는 SiemensSoftwareCenter.exe, SM 소프트웨어 프로비저닝 서비스 폴더, 실행 파일 옆에 있는 activate.bak 또는 statinfosta.DB라는 파일, 그리고 AppDataLocal 아래에 FTSuite 디렉토리를 포함하는 ftc.uml이 포함됩니다.

공격자가 사용하는 Siemens 바이너리가 진정하고 디지털 서명되어 있기 때문에 전통적인 파일 평판만으로는 공격을 밝혀내지 못할 수 있습니다. 보안 팀은 대신 실행 파일의 위치, 부모 프로세스, 인접한 DLL 파일, 지속성 아티팩트 및 아웃바운드 네트워크 연결을 상관시켜야 합니다.

CVE-2026-110936 완화

Siemens는 Software Center 버전 4.0.9.8에서 이 취약점을 해결했습니다. 이전 버전은 영향을 받는 것으로 간주되며, 기존 설치는 애플리케이션이 실행될 때 패치된 릴리스를 자동으로 수신하도록 설계되었습니다. 조직은 배포된 엔드포인트가 버전 4.0.9.8 이상을 실행하고 있는지 확인하고 자동 업데이트가 이미 완료되었을 것이라는 가정하지 말아야 합니다.

또한 Siemens 소프트웨어는 공식 Siemens 소스를 통해서만 구해야 한다고 Siemens는 명시하고 있습니다. 이 캠페인에 관련된 악성 번들은 공식 인프라 외부에서 배포되었으며 Siemens 제품이나 업데이트 채널이 손상되지 않았다고 회사는 말했습니다.

보안 팀은 DNS 해석기, 프록시 및 방화벽에서 알려진 악성 인프라를 차단하고 이전 연결을 위해 엔드포인트 및 네트워크 원격 측정치를 소급적으로 검색해야 합니다. 특히 msiexec.exe를 통해 실행될 때 AppDataLocalPrograms에서 실행되는 SiemensSoftwareCenter.exe를 찾아야 하고 일반적이지 않은 설치 디렉토리 외부에 배치된 예기치 않은 DLL 파일을 살펴보아야 합니다.

공격자가 악용한 파일이 진정한 것이기 때문에 SiemensSoftwareCenter.exe의 해시 기반 모니터링만으로는 충분하지 않습니다. 탐지 로직은 대신 비정상적인 실행 경로, 의심스러운 자식 또는 부모 프로세스, 예상치 못한 인접 DLL, 지속성 메커니즘 및 알려진 악성 인프라와의 통신에 초점을 맞춰야 합니다.

침해 지표가 확인되면 해당 엔드포인트를 격리하고 악성 프로세스를 종료하며, 권한이 없는 시작 항목이나 예약된 작업을 제거하고 잠재적으로 노출된 비밀번호를 재설정해야 합니다. Siemens는 또한 활성 및 이전에 사용된 캠페인 인프라에 대한 연결을 찾기 위해 기록 로그를 검토할 것을 권장합니다.