Analistas: PCs Lenovo fornecidos com software para enfraquecimento da segurança

ATUALIZADA às 11:58 PT com comentários da Lenovo.

Alguns laptops da Lenovo vêm com software que analistas de segurança dizem que podem tornar os usuários vulneráveis ​​a ataques.

Superfish é o chamado adware - software que gera anúncios na tela de um usuário. Ele é projetado para identificar produtos que os usuários estão procurando na Web e, em seguida, enviar anúncios para esses itens. Mas especialistas em segurança dizem que isso acontece, em parte, ao quebrar a criptografia usada para ocultar dados quando usuários visitam sites supostamente seguros.

O pesquisador de segurança britânico Graham Cluley diz que efetivamente equivale a um hack "man-in-the-middle", interceptando o que deveria ser uma comunicação segura, "tudo para que eles possam exibir alguns anúncios irritantes".

"Você aposta que é ruim", escreveu Cluley em um post no blog. "Se você tem Superfish no seu computador, você realmente não pode mais confiar em conexões seguras para sites."

Lenovo diz que Superfish desativado

Não ficou claro na quinta-feira quais modelos de computadores da Lenovo podem ser afetados. A empresa disse que "alguns produtos para notebooks de consumo" enviados entre setembro e dezembro tiveram o Superfish instalado.

A Lenovo informou que removeu o Superfish dos novos computadores em janeiro, que ele não será incluído em nenhum computador novo e que o Superfish desativou o software, portanto ele não será mais executado, mesmo quando instalado.

No entanto, a empresa afirma que o Superfish não representa a ameaça que alguns dizem que faz.

"Investigamos completamente essa tecnologia e não encontramos nenhuma evidência para substanciar preocupações de segurança", afirmou a Lenovo em comunicado. “Mas sabemos que os usuários reagiram a esse problema com preocupação e, portanto, tomamos medidas diretas para interromper o envio de qualquer produto com esse software.

"Continuaremos analisando o que fazemos e como fazemos para garantir que priorizemos as necessidades, a experiência e as prioridades de nossos usuários".

Alguns computadores fizeram isso claramente em lojas com versões ativas do software.

A ArsTechnica informou na quinta-feira que um pesquisador de segurança comprou um Lenovo Yoga 2 Pro por US $ 600 em uma área de São Francisco e “confirmou rapidamente” que o Superfish foi instalado.

Cluley escreve que, porque Superfish substitui o certificado de segurança de sites com um dos seus próprios. seria "fácil para outro ator hostil alavancar isso e comprometer ainda mais as conexões do usuário".

Livrar-se do software

Remover completamente o software de um computador já comprado parece ser uma proposta complicada. Além de desinstalar o software, Cluley diz que os usuários precisam remover o que é chamado de "certificado raiz" para isso.

A Microsoft, cujo sistema operacional Windows é executado nos computadores da Lenovo, publicou um guia passo-a-passo sobre como fazer isso. Ele também criou uma lista de certificados raiz confiáveis ​​em diferentes versões do Windows, para que os usuários possam ver se alguma coisa foi adicionada sem o seu conhecimento.

A abordagem mais simples, embora drástica, é limpar o disco rígido de um computador e instalar uma nova versão do Windows ou outro sistema operacional.

"É uma resposta brutal, mas é provavelmente a única em que você pode confiar completamente agora", escreveu Cluly. "Levou a comunidade de segurança mais de seis meses para perceber o que a Lenovo estava fazendo em seus PCs, quem sabe se ela está fazendo qualquer outra coisa um pouco desonesta também."

Imagem via iStock