Superfish : Lenovo installe des malwares dans ses PC

La marque chinoise Lenovo livre des PC infectés par un malware dès leur sortie d’usine.

Lorsque l’on achète un ordinateur neuf sous Windows, ces derniers sont très souvent dotés d’une version d’essai pour un logiciel Antivirus. OK, on galère toujours un peu pour les désinstaller et mettre un programme plus efficace, mais au final, on se dit que ce n’est pas plus mal et c’est assez rassurant de penser que notre machine est protégée dès les premiers instants de sa vie numérique.

La surprise a dû être d’autant plus grande pour de nombreux clients de la marque Lenovo qui ont eu la désagréable surprise de recevoir des ordinateurs neufs infectés par un malware nommé Superfish.

Lenovo et les PC vérolés dès leur sortie d’usine

De nombreux utilisateurs ont commencé à se plaindre sur les forums de la marque chinoise de la présence de Superfish dans leur ordinateur. Ce malware a pour but premier d’injecter de la publicité dans n’importe quelle page web sur Internet Explorer ou encore Chrome.

Les équipes de Lenovo ont tout de suite tenu à rassurer les utilisateurs mécontents en assumant la présence de Superfish qui était censé « aider les utilisateurs à découvrir des produits à bas prix » et qu’il était possible de ne pas l’installer en refusant les CGU du logiciel. L’affaire aurait pu s’arrêter là mais Superfish semble bien plus intrusif qu’il n’y parait.

Superfish ouvre la porte aux hackers

De nombreux utilisateurs aguerris à la sécurité Internet ont remarqué que Superfish avait recours à des certificats auto signés qui permettent au logiciel d’espionner les connexions sécurisées des utilisateurs infectés. Ce certificat auto signé a pour conséquence de ne plus prévenir l’utilisateur si ce dernier navigue sur une connexion non sécurisée (SSL).

Les problèmes de sécurité concernant Superfish ne s’arrêtent pas là puisque certains ont remarqué que la même clé privée est utilisée sur tous les ordinateurs Lenovo sur lesquels Superfish est installé. Si un hacker venait à déchiffrer cette clé, il pourrait intercepter le trafic des ordinateurs Lenovo connectés à des WiFi publics sans avoir à forcer son talent.

Si vous avez acheté un ordinateur Lenovo récemment faites attention, la désinstallation de Superfish annule bien l’affichage des publicités mais cela ne supprimerait pas ce fameux certificat auto signé.

@fugueish @supersat @SwiftOnSecurity It does not. I just uninstall VisualDiscovery. Had to delete the certificate manually.

— Alan Penner (@metsfan) February 19, 2015