Många datorer levereras med stora mängder mer eller mindre oönskade program för att tillverkaren ska tjäna en slant och möjligtvis kunna skära bort några kronor från prislappen. Ofta handlar det om tidsbegränsade testversioner, förvalda tjänster och reklamfyllda startsidor. Ibland upptäcks dock betydligt mer kontroversiella mjukvaror.
Nu uppdagas att Lenovos datorer levereras med ett annonsprogram som uppvisar ett minst sagt udda beteende. Mjukvaran heter Superfish och används för att injicera reklam i webbläsaren i form av en inbäddad sökfunktion. Inte nog med det, programmet utnyttjar självsignerade certifikat för att utföra vad som mest kan liknas vid en man in the middle-attack.
Genom att utge sig för att vara en certifikatutgivare (CA) kan Superfish inte bara visa reklam i en uppsjö olika sammanhang utan även snappa upp data från krypterade anslutningar, exempelvis internetbanker och andra webbplatser som upprättar SSL-förbindelser. Risken finns att tredje part kan utnyttja programmets huvudnyckel för skadliga ändamål.
För att strö salt i såren räcker det inte med att avinstallera Superfish för att bli av mjukvaran. Användaren måste även manuellt ta bort systemcertifikatet från webbläsaren. Enligt Hackernews gäller det i huvudsak Internet Explorer eftersom Firefox normalt inte godkänner denna typ av certifikat medan Chrome väntas rulla ut en uppdatering för att blockera beteendet.
Efter upptäckten uppger Lenovo att Superfish inte längre ska levereras med företagets datorer och att programmet sedan i januari inaktiverats på de berörda enheterna. Mjukvaran ska dock ha använts i Lenovos konsumentklassade persondatorer sedan åtminstone i mitten av 2014.
Källa: The Next Web.
