สรุปสั้น

บริษัท Siemens ยืนยันเมื่อวันที่ 19 ตุลาคม 2569 ว่าช่องโหว่ CVE-2026-110936 ใน Siemens Software Center ถูกผู้โจมตีนำไปใช้ในแคมเปญมัลแวร์จริงแล้ว Siemens Software Center เป็นโปรแกรมที่ลูกค้าใช้ดาวน์โหลด ติดตั้ง เปิดใช้งาน และอัปเดตซอฟต์แวร์ที่ซื้อจาก Siemens รวมถึงเริ่มทดลองใช้ฟรี ช่องโหว่เกิดจากโปรแกรมไม่จำกัดตำแหน่งที่ค้นหาไฟล์ DLL ผู้โจมตีจึงวาง DLL ของตัวเองไว้ข้างไฟล์โปรแกรมแล้วให้โปรแกรมโหลดขึ้นมารันด้วยสิทธิ์เดียวกัน Siemens เปิดเผยช่องโหว่เมื่อ 15 ตุลาคม ให้คะแนน CVSS v4 ที่ 8.4 และแก้แล้วในเวอร์ชัน 4.0.9.8

ในการโจมตีจริง ผู้โจมตีไม่ได้แก้ไขโปรแกรมของ Siemens แต่นำสำเนาแท้ที่มีลายเซ็นดิจิทัลถูกต้องมาบรรจุรวมกับ DLL อันตรายในไฟล์ติดตั้ง MSI แล้วแจกผ่านหน้าเว็บแบบ ClickFix ที่หลอกให้เหยื่อวางคำสั่งลงเครื่องเอง Siemens โยงการโจมตีเข้ากับ ROMULUS แพลตฟอร์มส่งมัลแวร์ ClickFix หลายแพลตฟอร์มที่ Forescout เพิ่งเปิดโปง และยืนยันว่าไม่มีระบบ ผลิตภัณฑ์ หรือช่องทางอัปเดตของบริษัทถูกเจาะเท่าที่ทราบ เนื่องจากไฟล์ของ Siemens เป็นของแท้ บริษัทจึงแนะนำให้ฝ่ายป้องกันตรวจจับจากพฤติกรรมและโฟลเดอร์ แทนการพึ่งค่าแฮชของไฟล์

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 19 ตุลาคม 2569 ว่า Siemens เผยแพร่ประกาศ SSA-580366 เมื่อวันที่ 15 ตุลาคม 2569 แจ้งช่องโหว่ DLL sideloading ใน Siemens Software Center ทุกเวอร์ชันที่ต่ำกว่า 4.0.9.8 สองวันต่อมาบริษัทปรับประกาศเพื่อแจ้งว่าเวอร์ชัน 4.0.9.8 แก้ปัญหาแล้ว และผู้ที่ติดตั้งโปรแกรมไว้จะได้รับการแก้ไขอัตโนมัติเมื่อเปิดโปรแกรมครั้งถัดไป ประกาศฉบับแรกไม่ได้พูดถึงการโจมตีจริง จนกระทั่งวันที่ 19 ตุลาคม Siemens จึงเพิ่มลิงก์ไปยังบล็อกที่อธิบายการโจมตี ผู้รายงานช่องโหว่คือนาย Jose Oregon นักวิจัยของบริษัท Huntress

Siemens ระบุว่าเวอร์ชัน 3.5.8.7 ซึ่งเป็นเวอร์ชันล่าสุดในขณะนั้นไม่ตรวจสอบไฟล์ช่วยทำงาน (helper files) ก่อนโหลด บริษัทย้ำว่าซอฟต์แวร์ของตนไม่ถูกดัดแปลง และแพ็กเกจอันตรายไม่ได้แพร่ผ่านช่องทางของ Siemens “เท่าที่เราทราบ ไม่มีระบบ ผลิตภัณฑ์ หรือช่องทางอัปเดตของ Siemens ถูกเจาะ” Siemens กำลังแบ่งปันข้อมูลภัยคุกคามกับหน่วยงานรัฐและผู้ให้บริการ EDR และ ณ วันที่เผยแพร่บล็อก เซิร์ฟเวอร์ C2 ของแคมเปญยังทำงานอยู่

ด้านการระบุผู้อยู่เบื้องหลัง Siemens โยงการโจมตีเข้ากับ ROMULUS แคมเปญ ClickFix หลายแพลตฟอร์ม ซึ่ง Forescout เผยแพร่งานวิจัยเมื่อสัปดาห์ก่อน และพบแพลตฟอร์มนี้ทำงานบนหลายเซิร์ฟเวอร์ รวมถึงเซิร์ฟเวอร์ที่ Siemens ระบุว่าเป็นจุดแจกแพ็กเกจอันตรายที่บรรจุโปรแกรมของตน Forescout เคยเห็น ROMULUS ส่งมัลแวร์ LegionLoader และตัวติดตั้งที่ถูกฝังโทรจันซึ่งใช้โปรแกรม Stardock แท้ทำ DLL sideloading ส่วน Huntress รายงานแพ็กเกจที่ใช้ Stardock แบบเดียวกันเมื่อปลายเดือนกันยายน ในแคมเปญที่ใช้ Custom GPT ปลอมของ ChatGPT ล่อผู้ใช้ไปหน้า ClickFix โดยใช้โปรแกรมที่มีลายเซ็นของ Canon และต่อมาของ Stardock ทำ sideloading จนติดตั้ง RAT Huntress ตอบสนองเหตุที่เกี่ยวข้องอย่างน้อย 40 เหตุ และเชื่อว่ามีโปรแกรมที่มีลายเซ็นของผู้ผลิตรายอื่นถูกใช้ด้วย ข้อจำกัดของหลักฐานคือรายงานของ Huntress และ Forescout ไม่ได้กล่าวถึง Siemens Software Center โดยตรง SecurityWeek ประเมินจากโครงสร้างพื้นฐานที่ทับซ้อนและวิธี sideloading ที่คล้ายกันว่าโปรแกรมของ Siemens น่าจะถูกเพิ่มเข้าชุดเครื่องมือเดียวกัน ส่วนตัวผู้ควบคุม ROMULUS ยังระบุไม่ได้

อัปเดต 21 ต.ค. 2569: หน่วยงาน CISA ของสหรัฐฯ เพิ่ม CVE-2026-110936 (CVSS 8.4) เข้าแคตตาล็อก Known Exploited Vulnerabilities (KEV) เมื่อวันที่ 20 ตุลาคม 2569 ยืนยันการถูกใช้โจมตีจริงในแคมเปญ ClickFix ที่ใช้แพลตฟอร์ม Romulus และกำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางแก้ไขภายในวันที่ 3 พฤศจิกายน 2569

รายละเอียดช่องโหว่

CVE-2026-110936 จัดอยู่ในประเภท CWE-427 (Uncontrolled Search Path Element) ได้คะแนน CVSS v3.1 ที่ 6.7 และ CVSS v4.0 ที่ 8.4 เวกเตอร์ระบุว่าเป็นการโจมตีภายในเครื่อง (local) ที่ต้องมีสิทธิ์สูง ผู้โจมตีที่ยืนยันตัวตนแล้วสามารถวาง DLL อันตรายลงในโฟลเดอร์ที่โปรแกรมค้นหา แล้วให้โค้ดของตัวเองทำงานด้วยสิทธิ์เดียวกับ Siemens Software Center ทุกเวอร์ชันที่ต่ำกว่า 4.0.9.8 ได้รับผลกระทบ

วิธีการโจมตี

ตามบล็อกของ Siemens การโจมตีเริ่มจากหน้าเว็บแบบ ClickFix ที่หลอกให้เหยื่อวางคำสั่งลงในกล่อง Run (Win+R) หรือ PowerShell เหยื่อจะได้ไฟล์ AllMyBasic.msi จากเซิร์ฟเวอร์ 2.27.248[.]127 (ปัจจุบันไม่ทำงานแล้ว) เมื่อติดตั้ง MSI จะวางไฟล์ SiemensSoftwareCenter.exe ตัวจริงที่มีลายเซ็นถูกต้องไว้ใต้ AppData\Local\Programs และเรียกขึ้นมาผ่าน msiexec ตอนเริ่มทำงาน โปรแกรมจะโหลด DLL ของผู้โจมตีที่วางไว้ข้าง ๆ เช่น archive.dll จากนั้นมัลแวร์ติดต่อเซิร์ฟเวอร์ C2 ที่ 96.62.218[.]59 และโดเมน wizardexpensive[.]com

การใช้โปรแกรมแท้ที่มีลายเซ็นของผู้ผลิตที่น่าเชื่อถือ ทำให้กระบวนการที่รันอยู่ดูปกติในสายตาของเครื่องมือป้องกันที่พึ่งลายเซ็นหรือชื่อเสียงของไฟล์ เพื่อคงอยู่ในระบบ มัลแวร์สร้างรายการ “Siemens Software Center” ใน startup apps หรือ Task Scheduler บนเครื่องที่ไม่เคยติดตั้งโปรแกรมนี้มาก่อน

ผลกระทบ

Siemens Software Center เป็นโปรแกรมที่วิศวกรและผู้ใช้ซอฟต์แวร์อุตสาหกรรมของ Siemens ใช้เป็นประจำ การเห็นชื่อโปรแกรมนี้บนเครื่องในองค์กรที่ใช้ผลิตภัณฑ์ Siemens จึงไม่น่าสงสัย ขณะที่บนเครื่องที่ไม่เคยติดตั้ง ผู้ดูแลอาจไม่รู้ว่าโปรแกรมนี้คืออะไรและปล่อยผ่าน แม้คะแนน CVSS v3.1 จะอยู่แค่ระดับกลางเพราะต้องเข้าถึงเครื่องก่อน แต่ ClickFix แก้โจทย์นั้นให้ผู้โจมตีด้วยการให้เหยื่อรันคำสั่งเอง ช่องโหว่จึงถูกใช้เป็นเครื่องมือหลบการตรวจจับมากกว่าการยกระดับสิทธิ์

กรณีนี้ยังสะท้อนแนวโน้มที่ผู้โจมตีสะสมโปรแกรมแท้ที่มีลายเซ็นและมีช่องโหว่ sideloading จากผู้ผลิตหลายราย ทั้ง Canon, Stardock และล่าสุด Siemens มาสลับใช้ในแคมเปญเดียวกัน การบล็อกด้วยค่าแฮชหรือเชื่อลายเซ็นของผู้ผลิตจึงใช้ไม่ได้ผล การที่ C2 ยังทำงานอยู่ ณ วันที่ประกาศ ยังหมายความว่าการโจมตีน่าจะดำเนินต่อไป

คำแนะนำ

  • อัปเดต Siemens Software Center เป็นเวอร์ชัน 4.0.9.8 หรือใหม่กว่า (เปิดโปรแกรมเพื่อรับอัปเดตอัตโนมัติ) และดาวน์โหลดซอฟต์แวร์ Siemens จากแหล่งทางการเท่านั้น
  • บล็อก 96.62.218[.]59, wizardexpensive[.]com และ 2.27.248[.]127 ที่ไฟร์วอลล์ พร็อกซี และ DNS แล้วค้น log ย้อนหลังหาการเชื่อมต่อ รวมถึงไปยังเซิร์ฟเวอร์แจกไฟล์ที่ไม่ทำงานแล้ว
  • ล่าหา SiemensSoftwareCenter.exe ที่รันจาก AppData\Local\Programs โดยมี msiexec เป็นโปรเซสแม่ และ DLL แปลกปลอมข้างไฟล์โปรแกรมนอกโฟลเดอร์ติดตั้งปกติ
  • ตั้งกฎตรวจจับจากโฟลเดอร์และพฤติกรรม ไม่ใช่ค่าแฮชของไฟล์ Siemens เพราะไฟล์เป็นของแท้
  • ใช้ application control หรือ GPO จำกัดการเปิดกล่อง Run และ PowerShell สำหรับผู้ใช้ทั่วไป และอบรมพนักงานว่าห้ามวางคำสั่งจากหน้าเว็บ
  • หากสงสัยว่าเครื่องถูกเจาะ ให้แยกเครื่อง หยุดโปรเซส ลบรายการ startup และ scheduled task เปลี่ยนรหัสผ่าน และดำเนินการตามแผนรับมือเหตุการณ์

Indicators of Compromise (IoCs)

เครือข่าย

  • 96.62.218[.]59 — C2 / โฮสต์ payload (ยังทำงาน ณ 19 ต.ค. 2569)
  • wizardexpensive[.]com — C2 / โฮสต์ payload (ยังทำงาน ณ 19 ต.ค. 2569)
  • 2.27.248[.]127 — แจกจ่าย AllMyBasic.msi (ไม่ทำงานแล้ว)

SHA-256

  • f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a — AllMyBasic.msi
  • 3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491 — archive.dll

ไฟล์และโฟลเดอร์

  • activate.bak และ statinfosta.DB ข้าง SiemensSoftwareCenter.exe
  • โฟลเดอร์ SM Software Provisioning Service ใต้ AppData\Local\Programs
  • โฟลเดอร์ FTSuite ใต้ AppData\Local ที่มีไฟล์ ftc.uml
  • รายการ “Siemens Software Center” ใน startup apps หรือ Task Scheduler บนเครื่องที่ไม่เคยติดตั้ง

แหล่งอ้างอิง