Lenovo, bloatware con vulnerabilità

I laptop Lenovo venduti nei mesi passati includono un bloatware potenzialmente pericoloso, dicono alcuni report, un software pensato per scopi pubblicitari che però “infetta” il sistema con un meccanismo di firma digitale dei certificati sfruttabile per compiere azioni malevole. Una prospettiva esclusa da Lenovo stessa

in un comunicato .

Superfish, questo il nome del software installato da Lenovo sui propri computer portatili, è un noto adware che interagisce con le ricerche Web dell’utente mostrando su schermo messaggi pubblicitari contestuali. Una soluzione con cui il maggior produttore di PC al mondo “monetizza” i laptop consumer, senza richiedere alcuna autorizzazione all’utente prima di mostrare pop-up pubblicitari sullo schermo.

La presenza di Superfish sui laptop Lenovo è emersa nei mesi scorsi, con gli acquirenti che hanno usato i forum ufficiali della corporation per

lamentarsi dell’advertising non richiesto su PC nuovi di fabbrica. Lenovo ha risposto

sostenendo di aver cessato l’installazione di Superfish dai propri sistemi fin dal mese di gennaio, e di aver di fatto sospeso il suo funzionamento sui sistemi precedentemente venduti: non si sarebbero rilevati problemi si sicurezza, ma si sarebbe semplicemente reagito alle apprensioni mostrate dagli utenti rispetto al software di terze parti.

A creare preoccupazioni presso l’utenza è il modo in cui Superfish interagisce con le ricerche Web, vale a dire servendosi di certificati crittografici (SSL) auto-firmati da una “certificate authority” installata sul sistema: si tratta a tutti gli effetti di certificati fasulli non rilasciati da alcuna autorità terza, e il meccanismo è potenzialmente sfruttabile per generare nuovi certificati falsi da usare per azioni malevole.

Il mondo dei computer portatili di marca è da tempo costretto a convivere con bloatware, crapware e backdoor installati nel BIOS/firmware di sistema ( Absolute Computrace ) a volte spiegate come misure di sicurezza, ma per BSA (Business Software Alliance) il problema principale della sicurezza IT continua a essere il software senza licenza: la correlazione tra programmi pirata e le infezioni da malware è “forte e consistente”, sostiene BSA . La correlazione tra il software preinstallato e i rischi a cui è esposto l’utente è ancora da provare.

Alfonso Maruccia