Lenovo Caught Installing Adware On New Computers
►http://thenextweb.com/insider/2015/02/19/lenovo-caught-installing-adware-new-computers
The adware, named Superfish, is reportedly installed on a number of Lenovo’s consumer laptops out of the box. The software injects third-party ads on Google searches and websites without the user’s permission.
Le constructeur de PC ripou #Lenovo livre ses poubelles avec un #adware pré-installé, quoi vous affiche des pubs dans vos sessions Web. Bien pire, le navigateur est pré-configuré avec une Autorité de Certification pirate (#SuperFish), ce qui permet de casser TLS (attaque de l’Homme du Milieu) et donc de mettre les pubs même sur les sessions HTTPS.
Seule solution : reformater tout PC acheté et y mettre un système d’exploitation de confiance (en attendant que les entreprises capitalistes mettent le malware dans le BIOS).
#publicité #X.509 #sécurité_informatique
L’alerte initiale (mais qui était passée inaperçue) ▻https://forums.lenovo.com/t5/Lenovo-P-Y-and-Z-series/Lenovo-Pre-instaling-adware-spam-Superfish-powerd-by/m-p/1863174
Un bon résumé ►http://thenextweb.com/insider/2015/02/19/lenovo-caught-installing-adware-new-computers
La discussion chez Mozilla pour savoir comment gérer ce genre de piratages ▻https://bugzilla.mozilla.org/show_bug.cgi?id=1134506 (avec une copie du certificat pirate)
Pourquoi est-ce gravissime pour la sécurité ▻http://marcrogers.org/2015/02/19/lenovo-installs-adware-on-customer-laptops-and-compromises-all-ssl
Gérer ses certificats sous Windows (permet de voir et de supprimer le certificat de SuperFish) ▻http://windows.microsoft.com/fr-fr/windows-vista/view-or-manage-your-certificates
Réponse officielle de Lenovo ▻http://news.lenovo.com/article_display.cfm?article_id=1929&cid=ww:social:147924660:147924659:T
Ils s’engagent à ne plus livrer le malware mais ils ne disent pas un mot de ce qui est le plus grave : la fausse Autorité de Certification et les attaques de l’Homme du Milieu
Et interview, tout aussi langue de bois corporate, d’un dirigeant de Lenovo ▻http://blogs.wsj.com/digits/2015/02/19/lenovo-cto-were-working-to-wipe-superfish-app-off-of-pcs
Finalement, Lenovo a enfin publié une alerte de sécurité (concernant son propre malware, c’est ironique) sur son site ▻http://support.lenovo.com/us/en/product_security/superfish
La clé privée du certificat de l’AC pirate a été trouvée. Un problème qui était très grave devient donc catastrophique :-( ▻http://blog.erratasec.com/2015/02/extracting-superfish-certificate.html
Si vous avez le malheur d’avoir un Lenovo (ou une autre machine utilisant le même malware), visitez ▻https://canibesuperphished.com Normalement, cela ne doit pas marcher (vous devez avoir une alerte de sécurité). Si ça passe, c’est qu’il y a un problème, parce que vous faites confiance à #SuperFish.
Autre test, en ▻https://filippo.io/Badfish où vous devez normalement voir l’image qui vous dit que vous êtes en sécurité.
Une publicité de la boîte qui a fourni à Lenovo son malware (et qui s’en vante) ▻http://www.komodia.com/products/komodias-ssl-decoderdigestor La boîte a été fondée par un ancien de l’armée israélienne. Un article sur cette boîte : ▻http://www.forbes.com/sites/thomasbrewster/2015/02/20/komodia-lenovo-superfish-ddos
Instructions pratiques sur la détection et le retrait du malware ▻http://www.pcworld.com/article/2886278/how-to-remove-the-dangerous-superfish-adware-presintalled-on-lenovo-pcs.htm ▻https://filippo.io/Badfish/removing.html ▻https://www.eff.org/deeplinks/2015/02/how-remove-superfish-adware-your-lenovo-computer
Un truc à vérifier d’après cet article
▻http://www.20minutes.fr/high-tech/1545291-20150219-superfish-pc-lenovo-vendus-dangereux-mouchard
Par mesure de sécurité, il est possible de le retirer à la main. Il faut :
- exécuter la commande (touche WINDOWS + R) « certmgr.msc » (sans les guillemets)
- cliquer sur le second dossier des « certifications root de confiance »
- cliquer sur le dossier « certificats »
- effacer l’entrée « Superfish ».
Dans la communication corporate de Lenovo, un grand nombre de mensonges ont été prononcés comme le fait que l’attaque Homme du Milieu serait purement théorique. Voici un HOWTO expliquant de manière très concrète comment la réaliser, avec juste un Raspberry Pi et trois heures de temps ▻http://blog.erratasec.com/2015/02/exploiting-superfish-certificate.html
Un autre logiciel (celui-ci est développé en Ukraine, pas en Israël) a des pratiques analogues ▻http://seenthis.net/messages/344951
Publicité ou sécurité, il faut choisir, une analyse ▻https://medium.com/opendns-dot-medium/the-superfish-truth-a-letter-about-internet-security-and-online-advertising-