Lenovo do počítačů instalovalo malware, který obsahoval pořádnou díru

20. 2. 2015

To si koupíte nový počítač a divíte se, co objevíte na pevném disku. Na všemožný bloatware degradující výkonný hardware na pomalou herku jsme si zvykli. Lenovo tomu však nasadilo korunu, když začalo do počítačů přidávat pro změnu ještě adware zvaný Superfish. Doporučoval uživateli nejlevnější produkty na základě analýzy obrázků, např. při hledání na Googlu.

Lenovo was paid money to install malware by a company that couldn't pay a developer who knew what they were doing.

— InfoSec Taylor Swift (@SwiftOnSecurity) February 19, 2015

Lenovo se ovšem tvářilo, že vám doplněk měl pomoci, místo aby se dotázalo, zda si něco takového v počítači přejete, nebo na přítomnost adwaru aspoň zdaleka upozorňovalo. Manipulace s obsahem stránky, na níž Lenovo vydělává, je v přímém rozporu s etickým kodexem. Situace trvá minimálně od poloviny roku 2014.

Software se při prvním použití aspoň zeptá, jestli souhlasíte s podmínkami použití. Když ne, vypne se. Lze předpokládat, že většina lidí aktivaci normálně povolí. Jak se taková situace může ještě rapidně zhoršit? V přídavném softwaru bylo nalezeno slabé místo v zabezpečení. Superfish do počítačů instaloval certifikát, který adwaru dával možnost sledovat šifrovanou komunikaci.

To je samo o sobě špatně. Pod vlivem se nachází Chrome a IE, zatímco do Firefoxu certifikát nepropašujete. S každou hodinou od odhalení přítomnosti malwaru se nepovedená historka protahuje o ještě méně povedené části. Bezpečnostní výzkumníci si proklepli přidaný certifikát a potvrdili, že případné napadení počítače skrze něj není utopie.

Po prolomení hesla certifikátu, které bylo poměrně jednoduché, byl člověk z Errata Security schopný zanedlouho zachytit šifrovanou komunikaci z počítačů se Superfish. Sedl si do kavárny s veřejnou Wi-Fi a majitelé počítačů Lenovo byli okamžitě v ohrožení. Kterákoli třetí strana potenciálně mohla sledovat vaši komunikaci.

Pánové z Lenova se ze skandálu budou nejspíš vzpamatovávat ještě dlouho. Jak se adwaru zbavíte? Napoví toto video. Potíže vyřeší rovněž zformátování úložiště a čistá instalace systému. Lenovo tvrdí, že od ledna už software na nové počítače neinstaluje a už nikdy nebude. Na stávajících strojích software na dálku vypnulo.