Actualidad

Lenovo instala un peligroso adware en sus ordenadores

1

Una herramienta instalada de serie en algunos ordenadores del fabricante chino falsea certificados SSL poniendo en peligro los datos de sus usuarios

19
FEB 2015

Usuarios y expertos en seguridad han detectado que algunos ordenadores de Lenovo vienen con un adware potencialmente peligroso instalado de fábrica. El programa de la polémica es Superfish, una herramienta que permite insertar publicidad en el navegador web y que, por la forma en la que funciona, podría dejar abiertas las puertas de dichos equipos a todo tipo de programas maliciosos.

Según se ha descubierto, Superfish actúa siguiendo una estrategia de intermediario o man-in-the-middle que le permite acceder a información privada a fin de mostrar anuncios durante la navegación por Internet. Para ello, este adware o programa de inserción publicitaria es capaz de instalar un proxy que genera falsos certificados SSL, lo que le permite mostrar anuncios incluso utilizando conexiones seguras.

Lenovo ha reconocido en sus foros de soporte técnicos la preinstalación de Superfish en sus ordenadores personales de consumo y señala que el programa no monitoriza la actividad personal de los usuarios, limitándose a analizar las imágenes de las sesiones de navegación para mostrar productos relacionados a la venta en miles de tiendas on-line.

Superfish pone en peligro a sus usuarios de dos formas distintas. Por un lado el programa utiliza la misma clave de seguridad en el certificado raíz que se otorga en todos los ordenadores en los que está instalado. Por otro, una simple desinstalación elimina Superfish, pero no el certificado en cuestión. Esto significa que si alguien pudiera hacerse con dicha clave también podría crear falsos certificados de seguridad aceptados por los ordenadores de Lenovo, lo que a su vez podría ser explotado para ejecutar todo tipo de programas maliciosos.

Lenovo ha declarado que está investigando la situación, y ya ha señalado que Superfish no se encuentra instalado en los ordenadores de su gama profesional.

Actualización: Lenovo ha señalado a The Verge que la activación de Superfish en los ordenadores ya comercializados fue desactivada en enero y que el software ya no está presente en sus nuevos equipos. La compañía admite haber recibido quejas por parte de los usuarios y ha publicado una guía para eliminar tanto Superfish como el certificado en cuestión.

Etiquetas
1
Comentarios
Cargando comentarios