西门子在 10 月 19 日确认，Software Center 的 DLL 侧加载漏洞 CVE-2026-110936 已被实际利用，活动归属于 ROMULUS 多平台 ClickFix 平台。攻击者没有修改西门子的程序——他们发出去的是带正规数字签名的原版 Software Center，旁边放一个自己的 archive.dll。
事件概述
CVE-2026-110936 属于 CWE-427 不受控搜索路径问题，CVSS v4 评 8.4、v3.1 评 6.7。西门子公告编号 SSA-580366，10 月 15 日发布，10 月 17 日补上修复版本 4.0.9.8，漏洞由 Huntress 的 Jose Oregon 报告。攻击者选中的载体是 3.5.8.7，当时最新版本会从程序所在目录加载辅助 DLL 且不做校验。
西门子说明程序本体未被修改，自身系统与更新通道未被入侵，恶意包走官方渠道之外——打补丁保护的是你自己那份，保护不了别人塞给你的那份。
技术细节
投放链是标准 ClickFix 套路：假「我不是机器人」校验提示用户按 Win+R 粘贴命令，拉起命令行解释器，通过 msiexec 执行 AllMyBasic.msi，随后 SiemensSoftwareCenter.exe 从 AppData\Local\Programs 启动，并从同目录加载恶意 archive.dll。
分发侧归到 ROMULUS（Forescout 的 Vedere Labs 10 月 14 日披露）：按 token 下发不同载荷，至少分布在六个 IP 上。一条路由投木马化 MSI，另一条下载近 800MB 的填充压缩包，绕过上传限制与沙箱后解出 LegionLoader。
借签名不是新发明：9 月底 Huntress 见过同一个侧加载包，借的是 Canon 与 Stardock 的签名程序，用假 ChatGPT 引流，至少 40 起。西门子列出的 2.27.248[.]127 与 ROMULUS 基础设施重叠。
影响评估
最需要纠正的认知是「我没装西门子软件，与我无关」：攻击者自带签名程序，受害机器不需要预装西门子产品，补丁状态不构成豁免。副作用是检测难度：终端防护看到合法签名的宿主进程往往放行，侧加载的 DLL 因此不被质疑。载荷侧还挂着 LegionLoader 与后续远控，入口之后是凭证与浏览器数据的收割。CISA 未收录 KEV。
修复建议
- 升级 Software Center 到 4.0.9.8 或更高，装后启动一次让更新落地；已安装实例会在下次启动时自动更新。
- 网络侧封禁 96.62.218[.]59、wizardexpensive[.]com 与 2.27.248[.]127。
- 排查痕迹：从未装过却有「Siemens Software Center」开机项或计划任务；AppData\Local\Programs 下出现 SM Software Provisioning Service 目录；exe 同目录出现 activate.bak 或 statinfosta.DB；AppData\Local 下出现 FTSuite/ftc.uml。
- 确认中招：断网隔离，先停进程再删自启与计划任务，然后改该机所有口令。
- 检测盯行为不盯哈希：msiexec 拉起位于 AppData 的可执行文件、宿主进程从非常规目录加载 DLL。
- 任何网页要求在 Win+R 里粘贴命令，就是攻击；真正的机器人校验从不这么做。