Analytikere: Lenovo-pc'er afsendt med sikkerhedssvagningsprogram

OPDATERET kl. 11:58 PT med kommentar fra Lenovo.

Nogle Lenovo bærbare computere har sendt med software, som sikkerhedsanalytikere siger, kan gøre brugerne sårbare over for angreb.

Superfish er såkaldt adware - software, der genererer annoncer på en brugers skærm. Det er designet til at identificere produkter, som brugere leder efter på internettet og derefter skubbe annoncer for disse varer. Men sikkerhedseksperter siger det gør det, dels ved at bryde krypteringen, der bruges til at skjule data, når brugere besøger tilsyneladende sikre hjemmesider.

Den britiske sikkerhedsforsker Graham Cluley siger, at det i virkeligheden udgør et "man-in-the-middle" hack, der aflyser hvad der skal være sikker kommunikation, "alt for at de kan vise nogle irriterende reklamer."

"Du vedder det er dårligt," skrev Cluley i et blogindlæg. "Hvis du har Superfish på din computer, kan du virkelig ikke rigtig stole på sikre forbindelser til websteder længere."

Lenovo siger Superfish er deaktiveret

Det var uklart torsdag, hvilke modeller af Lenovo-computere der kan blive påvirket af. Virksomheden sagde, at "nogle forbrugerne notebook-produkter", der blev sendt mellem september og december, havde Superfish installeret.

Lenovo sagde, at det fjernede Superfish fra nye computere i januar, at det ikke vil blive inkluderet på nogen nye computere, og at Superfish har deaktiveret softwaren, så den løber ikke længere, selvom den er installeret.

Ikke desto mindre hævder virksomheden, at Superfish ikke udgør den trussel, som nogle siger det gør.

"Vi har grundigt undersøgt denne teknologi og finder ikke noget bevis for at underbygge sikkerhedsproblemer," sagde Lenovo torsdag i en erklæring. "Men vi ved, at brugere reagerede på dette problem med bekymring, og derfor har vi taget direkte skridt til at stoppe forsendelse af produkter med denne software.

"Vi vil fortsætte med at gennemse, hvad vi gør, og hvordan vi gør det for at sikre, at vi først sætter vores brugers behov, erfaring og prioriteter."

Nogle computere har klart gjort det til butikker med aktive versioner af softwaren.

ArsTechnica rapporterede torsdag, at en sikkerhedsforsker købte en Lenovo Yoga 2 Pro til $ 600 i en San Francisco-området Best Buy og "hurtigt bekræftet", at Superfish var blevet installeret.

Cluley skriver det, fordi Superfish erstatter sikkerhedscertifikatet for hjemmesider med en af ​​sine egne. det ville være "nemt for en anden fjendtlig skuespiller at udnytte dette og yderligere kompromittere brugerens forbindelser."

Slippe af med softwaren

Helt fjernelse af softwaren fra en allerede købt computer synes at være et vanskeligt forslag. Ud over at afinstallere softwaren, siger Cluley, at brugerne skal fjerne, hvad der kaldes et "root certifikat" for det.

Microsoft, hvis Windows-operativsystem kører på Lenovos computere, har offentliggjort en trinvis vejledning om, hvordan man gør det. Det har også oprettet en liste over de tillid til rootcertifikater i forskellige versioner af Windows, så brugerne kan se, om der er tilføjet noget andet uden deres viden.

Den enkleste tilgang, men drastisk, er at tørre en computers harddisk og installere en ny version af Windows eller et andet operativsystem.

"Det er et brutalt svar, men det er nok den eneste, du helt kan stole på lige nu," skrev Cluly. "Det tog sikkerhedssamfundet i løbet af seks måneder at lægge mærke til, hvad Lenovo gjorde på sine pc'er, hvem ved, om det gør noget andet også lidt risikabelt."

Billede via iStock