NoticiasNews

ClickFix y Siemens Software Center: un instalador legítimo sirve para cargar un troyano, y el usuario ejecuta el comandoClickFix and Siemens Software Center: a legitimate installer is abused to load a trojan, and the user runs the command

2026-10-20

Siemens publicó el 19 de octubre de 2026 un aviso sobre CVE-2026-110936, una falla de gravedad alta (CVSS v4 8.4) en Siemens Software Center, y The Hacker News informó el 20 de octubre que ya se usa en campañas ClickFix. Se trata de una carga lateral de DLL: la aplicación busca bibliotecas en una ruta no controlada y ejecuta la que el atacante coloca. Fue descubierta por Jose Oregon, de Huntress Labs, y se corrige en la versión 4.0.9.8.

Cómo funciona la cadena

  • La víctima llega a una página falsa (en algunos casos mediante ChatGPT Custom GPTs maliciosos) que muestra un aviso ClickFix.
  • Se le pide copiar y ejecutar un comando, que lanza PowerShell.
  • PowerShell descarga un instalador MSI que arranca una copia legítima y firmada de Siemens Software Center.
  • Esa copia carga un archivo archive.dll del atacante y el resultado final es un troyano de acceso remoto.

Siemens atribuye la actividad a la plataforma ROMULUS, que según Forescout ofrece páginas señuelo ClickFix y también se ha usado para distribuir LegionLoader.

Recomendaciones

  • Actualizar Siemens Software Center a la 4.0.9.8 o posterior y abrir la aplicación para aplicar la actualización.
  • Bloquear los indicadores publicados (las IP 96.62.218[.]59 y 2.27.248[.]127 y el dominio wizardexpensive[.]com) y buscar SiemensSoftwareCenter.exe ejecutándose desde AppData\Local\Programs y lanzado por msiexec.exe.
  • Instruir a los usuarios: ningún sitio legítimo pide pegar comandos en PowerShell o en Ejecutar.

El papel del soporte

Esta técnica depende de que el usuario actúe sin consultar. Una mesa de ayuda con un canal claro para reportar «una página me pidió ejecutar un comando» reduce el tiempo entre el error y la contención. Servigo365, de TEKFENIX, permite registrar esos reportes como tickets con prioridad y SLA, mantener el historial por usuario y dejar trazabilidad del incidente, mientras el equipo de TI aísla el equipo. En oficinas con atención al público, Nexturno ordena turnos y colas para que una contingencia técnica no deje el mostrador sin control. Ninguno de los productos usa inteligencia artificial: su aporte es contar con procesos y datos ordenados cuando ocurre un incidente.

Fuente: The Hacker News, 20 de octubre de 2026; aviso de Siemens del 19 de octubre.

Siemens published an advisory on October 19, 2026 for CVE-2026-110936, a high-severity flaw (CVSS v4 8.4) in Siemens Software Center, and The Hacker News reported on October 20 that it is already used in ClickFix campaigns. It is a DLL sideloading issue: the application searches for libraries in an uncontrolled path and runs the one the attacker places. It was discovered by Jose Oregon of Huntress Labs and is fixed in version 4.0.9.8.

How the chain works

  • The victim reaches a fake page (in some cases via malicious ChatGPT Custom GPTs) showing a ClickFix prompt.
  • They are asked to copy and run a command, which launches PowerShell.
  • PowerShell downloads an MSI installer that starts a legitimate, signed copy of Siemens Software Center.
  • That copy loads an attacker-supplied archive.dll, and the end result is a remote access trojan.

Siemens attributes the activity to the ROMULUS platform, which Forescout describes as offering ClickFix lure pages and which has also been used to distribute LegionLoader.

Recommendations

  • Update Siemens Software Center to 4.0.9.8 or later and open the application to apply the update.
  • Block the published indicators (IPs 96.62.218[.]59 and 2.27.248[.]127 and the domain wizardexpensive[.]com) and hunt for SiemensSoftwareCenter.exe running from AppData\Local\Programs and launched by msiexec.exe.
  • Tell users: no legitimate site asks you to paste commands into PowerShell or Run.

The role of support

This technique relies on users acting without asking. A help desk with a clear channel to report "a page asked me to run a command" shortens the time between the mistake and containment. TEKFENIX's Servigo365 lets teams log those reports as tickets with priority and SLA, keep history per user and leave an incident trail while IT isolates the machine. In offices that serve the public, Nexturno keeps queues and turns orderly so a technical contingency does not leave the counter out of control. Neither product uses artificial intelligence: their contribution is having orderly processes and data when an incident happens.

Source: The Hacker News, October 20, 2026; Siemens advisory of October 19.

← Volver al blog← Back to blog