Notebooks Lenovo con malware #SuperFish de regalo
No es la primera vez que ocurre, bien por descuido o de forma intencionada, un fabricante incluye algún tipo de malware, adware o spyware en sus productos, software o controladores. Esta vez, se ha descubierto que Lenovo ha incluido un malware en sus ordenadores portátiles.
El regalo incluido por Lenovo, recibe el nombre de Superfish. Un adware que no solo se conforma con insertar publicidad como cualquier otro. Como todo adware inyecta anuncios no deseados de terceros sin permiso del usuario. Pero además de la molesta publicidad indeseada deja todos los ordenadores expuestos a ataques "hombre en el medio" al incluir un certificado raíz autofirmado.
Si ya de por sí la inclusión del adware puede considerarse grave, ha sido el conocimiento de la existencia de un certificado raíz y de una vulnerabilidad mediante la cual se puede realizar ataques de SSL Hijacking (SSL MitM [PDF]).
Pruebas para verificar si se está infectado:
Chris Palmer, ingeniero de seguridad de Google, confirmó que Superfish genera certificados autofirmados para cualquier conexión cifrada, incluso las que se realizan con entidades bancarias.
Lo que es peor, ya han obtenido la contraseña que cifra la clave privada del certificado. Lo que significa que el certificado privado ya es público, y cualquiera podría interceptar las comunicaciones cifradas de los usuarios de los portátiles Lenovo infectados
Curiosamente la clave de cifrado ("Komodia") tampoco es un especialmente segura, ya que viene del nombre del SDK empleado para integrar servicios proxy e inyección de tráfico web. Realmente se ha comprobado que es Komodia Redirector SDK el que ha incluido ese certificado. Ya que todo el software que hace uso de este SDK también incluye certificados raíz (como Superfish Visual Discovery o KeepMyFamilySecure).
Lenovo ha reconocido el problema, no le quedaba otra, y ha confirmado que dejó de incluirlo en enero. Cuando la gente empezó a reportar los primeros problemas con Superfish. A continuación los países afectados y el porcentaje de conexiones SSL interceptadas.
La detección de esta adware por parte de los antivirus es de 25 de entre 55. Aunque ha sido a raíz de esta polémica cuando muchos antivirus han actualizado sus firmas para detectarlo (y otros seguirán haciéndolo), ayer mismo la detección todavía era baja (6/57). Aquí hay un test online creador por Filippo Valsorda para verificar si la computadora está infectada.
Para eliminar el software se puede hacer desde el Panel de Control. También es recomendable reiniciar la configuración de los navegadores. Y reiniciar después.
Pero esto solo elimina el componente encargado de inyectar los anuncios. Además se debe eliminar el certificado instalado por este software.
Se puede hacer desde:
Fuentes: Hispasec, Facebook y HackerNews
El regalo incluido por Lenovo, recibe el nombre de Superfish. Un adware que no solo se conforma con insertar publicidad como cualquier otro. Como todo adware inyecta anuncios no deseados de terceros sin permiso del usuario. Pero además de la molesta publicidad indeseada deja todos los ordenadores expuestos a ataques "hombre en el medio" al incluir un certificado raíz autofirmado.
Si ya de por sí la inclusión del adware puede considerarse grave, ha sido el conocimiento de la existencia de un certificado raíz y de una vulnerabilidad mediante la cual se puede realizar ataques de SSL Hijacking (SSL MitM [PDF]).
Pruebas para verificar si se está infectado:
Chris Palmer, ingeniero de seguridad de Google, confirmó que Superfish genera certificados autofirmados para cualquier conexión cifrada, incluso las que se realizan con entidades bancarias.
Curiosamente la clave de cifrado ("Komodia") tampoco es un especialmente segura, ya que viene del nombre del SDK empleado para integrar servicios proxy e inyección de tráfico web. Realmente se ha comprobado que es Komodia Redirector SDK el que ha incluido ese certificado. Ya que todo el software que hace uso de este SDK también incluye certificados raíz (como Superfish Visual Discovery o KeepMyFamilySecure).
Lenovo ha reconocido el problema, no le quedaba otra, y ha confirmado que dejó de incluirlo en enero. Cuando la gente empezó a reportar los primeros problemas con Superfish. A continuación los países afectados y el porcentaje de conexiones SSL interceptadas.
La detección de esta adware por parte de los antivirus es de 25 de entre 55. Aunque ha sido a raíz de esta polémica cuando muchos antivirus han actualizado sus firmas para detectarlo (y otros seguirán haciéndolo), ayer mismo la detección todavía era baja (6/57). Aquí hay un test online creador por Filippo Valsorda para verificar si la computadora está infectada.
Eliminar Superfish
Ahora que se conoce la clave del certificado raíz en más importante aun que todos los usuarios afectados eliminen este componente de sus sistemas. Es fácil saber si se está infectado por este adware, ya que al navegar aparecerán anuncios inyectados marcados como "Powered by VisualDiscovery".Para eliminar el software se puede hacer desde el Panel de Control. También es recomendable reiniciar la configuración de los navegadores. Y reiniciar después.
Pero esto solo elimina el componente encargado de inyectar los anuncios. Además se debe eliminar el certificado instalado por este software.
Se puede hacer desde:
- Internet Explorer: Herramientas/Opciones de Internet/Contenido/Certificados
- Google Chrome: Configuración/Preferencias Avanzadas/HTTPS/SSL/Administrar certificados...
- Mozilla Firefox: Preferencias/Avanzado/Certificados/Ver certificados
- También desde "Administrar certificados de equipo"
- También se puede seguir la guía publicada por Lenovo
- Windows Defender versión 1.193.444.0 del 20/02 detecta y elimina Superfish y los certificados digitales.
Listado de equipos Lenovo afectados
- G Series: G410, G510, G710, G40-70, G50-70, G40-30, G50-30, G40-45,
- G50-45
- U Series: U330P, U430P, U330Touch, U430Touch, U530Touch
- Y Series: Y430P, Y40-70, Y50-70
- Z Series: Z40-75, Z50-75, Z40-70, Z50-70
- S Series: S310, S410, S40-70, S415, S415Touch, S20-30, S20-30Touch
- Flex Series: Flex2 14D, Flex2 15D, Flex2 14, Flex2 15, Flex2 14(BTM),
- Flex2 15(BTM), Flex 10
- MIIX Series: MIIX2-8, MIIX2-10, MIIX2-11
- YOGA Series: YOGA2Pro-13, YOGA2-13, YOGA2-11BTM, YOGA2-11HSW
- E Series: E10-30
- CartCrunch Israel LTD
- WiredTools LTD
- Say Media Group LTD
- Over the Rainbow Tech
- System Alerts
- ArcadeGiant
- Objectify Media Inc
- Catalytix Web Services
- OptimizerMonitor
Fuentes: Hispasec, Facebook y HackerNews
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!