Mga Analyst: Ipinadala ng Lenovo PCs Gamit ang Security-Weakening Software

Nai-update sa 11:58 a.m. PT na may komento mula sa Lenovo.

Ang ilang Lenovo laptops ay naipadala sa software na sinasabi ng mga analyst ng seguridad na maaaring gumawa ng mga gumagamit na mahina laban sa pag-atake.

Superfish ay tinatawag na adware - software na bumubuo ng mga ad sa screen ng user. Ito ay dinisenyo upang makilala ang mga produkto na hinahanap ng mga gumagamit sa Web at pagkatapos ay itulak ang mga advertisement para sa mga item na iyon. Ngunit sinasabi ng mga eksperto sa seguridad na ginagawa nito ito, sa bahagi, sa pamamagitan ng pagsira ng encryption na ginagamit upang itago ang data kapag bumisita ang mga gumagamit ng mga secure na website.

Sinabi ng British researcher ng seguridad na si Graham Cluley na ang epektibong halaga ay isang "man-in-the-middle" na hack, na pumipigil sa kung ano ang dapat maging ligtas na komunikasyon, "lahat upang mapakita nila ang ilang mga nakakalito na adverts."

"Tunggalian mo ito ay masama," sumulat si Cluley sa isang blog post. "Kung mayroon kang Superfish sa iyong computer, hindi mo talaga mapagkakatiwalaan ang mga secure na koneksyon sa mga site."

Sinabi ni Lenovo na hindi pinagana ang Superfish

Ito ay hindi malinaw na Huwebes kung saan ang mga modelo ng Lenovo computer ay maaaring maapektuhan. Ang kumpanya ay nagsabi na "ang ilang mga produkto ng consumer notebook" na ipinadala sa pagitan ng Setyembre at Disyembre ay naka-install Superfish.

Sinabi ni Lenovo na inalis nito ang Superfish mula sa mga bagong computer noong Enero, na hindi ito isasama sa anumang mga bagong computer, at ang Superfish ay hindi pinagana ang software, kaya hindi na ito tatakbo kahit na naka-install.

Gayunpaman, ang kumpanya ay nagpapanatili na Superfish ay hindi magpose ang banta na ang ilang mga sinasabi nito.

"Lubusan naming sinisiyasat ang teknolohiyang ito at hindi nakakatagpo ng anumang katibayan upang patunayan ang mga alalahanin sa seguridad," sinabi ng Lenovo noong Huwebes sa isang pahayag. "Ngunit alam namin na ang mga gumagamit ay sumang-ayon sa isyung ito sa pag-aalala, at sa gayon ay nagsagawa kami ng direktang aksyon upang ihinto ang pagpapadala ng anumang mga produkto sa software na ito.

"Patuloy naming susuriin kung ano ang ginagawa namin at kung paano namin ginagawa ito upang matiyak na inilalagay namin muna ang mga pangangailangan ng gumagamit, karanasan at mga priyoridad."

Ang ilang mga computer ay malinaw na ginawa ito sa mga tindahan na may mga aktibong bersyon ng software.

Iniulat ng ArsTechnica noong Huwebes na ang isang researcher ng seguridad ay bumili ng Lenovo Yoga 2 Pro para sa $ 600 sa isang Best Buy area sa San Francisco at "mabilis na nakumpirma" na ang Superfish ay na-install.

Sinulat ni Cluley na, dahil ang Superfish ay pumapalit sa sertipiko ng seguridad ng mga website na may isa sa kanyang sarili. magiging "madali para sa isa pang masungit na artista na pakikinabangan ito at higit pang ikompromiso ang mga koneksyon ng gumagamit."

Pag-alis ng software

Ang ganap na pag-aalis ng software mula sa isang biniling computer ay mukhang isang mapanlinlang na panukala. Bilang karagdagan sa pag-uninstall ng software, sinabi ni Cluley na kailangan ng mga user na alisin ang tinatawag na "root certificate" para dito.

Ang Microsoft, na ang operating system ng Windows ay tumatakbo sa mga computer ng Lenovo, ay naglathala ng isang hakbang-hakbang na gabay sa kung paano gawin iyon. Gumawa rin ito ng isang listahan ng mga pinagkakatiwalaang mga sertipiko ng root sa iba't ibang mga bersyon ng Windows, upang makita ng mga user kung anumang iba pa ay naidagdag nang walang kanilang kaalaman.

Ang pinakasimpleng diskarte, bagaman marahas, ay upang i-wipe ang hard drive ng computer at i-install ang isang bagong bersyon ng Windows o isa pang operating system.

"Ito ay isang brutal na tugon, ngunit marahil ito ang tanging isa na lubos mong pinagkakatiwalaan ngayon," sabi ni Cluly. "Kinuha nito ang komunidad ng seguridad sa loob ng anim na buwan upang mapansin kung ano ang ginagawa ng Lenovo sa mga PC nito, na nakakaalam kung ito ay gumagawa ng anumang bagay na medyo tuso rin."

Imahe sa pamamagitan ng iStock