Portátiles Lenovo con malware de regalo

No es la primera vez que ocurre, bien por descuido o de forma intencionada, un fabricante incluye algún tipo de malware, adware o spyware en sus productos, software o controladores. Esta vez, se ha descubierto que Lenovo ha incluido un malware en sus ordenadores portátiles. 

El regalo incluido por Lenovo, recibe el nombre de Superfish. Un adware que no solo se conforma con insertar publicidad como cualquier otro. Como todo adware inyecta anuncios no deseados de terceros sin permiso del usuario. Pero además de la molesta publicidad indeseada deja todos los ordenadores expuestos a ataques "hombre en el medio" al incluir un certificado raíz autofirmado.

Certificado emitido a www.bankofamerica.com
firmado por superfish

Si ya de por sí la inclusión del adware puede considerarse grave, ha sido el conocimiento de la existencia de este certificado raíz lo que ha hecho que saltaran todas las alarmas.

Chris Palmer, ingeniero de seguridad de Google, confirmó que Superfish genera certificados autofirmados para cualquier conexión cifrada, incluso las que se realizan con entidades bancarias.

Lo que es peor, ya han obtenido la contraseña que cifra la clave privada del certificado. Lo que significa que el certificado privado ya es público, y cualquiera podría interceptar las comunicaciones cifradas de los usuarios de los portátiles Lenovo infectados

Curiosamente la clave de cifrado ("Komodia") tampoco es un especialmente segura, ya que viene del nombre del SDK empleado para integrar servicios proxy e inyección de tráfico web. Realmente se ha comprobado que es Komodia Redirector SDK el que ha incluido ese certificado. Ya que todo el software que hace uso de este SDK también incluye certificados raiz (como Superfish Visual Discovery o KeepMyFamilySecure).

Lenovo ha reconocido el problema, no le quedaba otra, y ha confirmado que dejó de incluirlo en enero. Cuando la gente empezó a reportar los primeros problemas con Superfish.

La detección de esta adware por parte de los antivirus es de 17 de entre 55. A raíz de esta polémica muchos antivirus han actualizado sus firmas para detectarlo (y otros seguirán haciéndolo), ayer mismo la detección todavía era baja (6/57).

Eliminar Superfish

Ahora que se conoce la clave del certificado raíz en más importante aun que todos los usuarios afectados eliminen este componente de sus sistemas. Es fácil saber si se está infectado por este adware, ya que al navegar aparecerán anuncios inyectados marcados como "Powered by VisualDiscovery".

Para eliminar el software se puede hacer desde el Panel de Control. También es recomendable reiniciar la configuración de los navegadores. Y reiniciar después.

Pero esto solo elimina el componente encargado de inyectar los anuncios. Además se debe eliminar el certificado instalado por este software.

Se puede hacer desde

Internet Explorer: Herramientas/Opciones de Internet/Contenido/Certificados

Google Chrome: Configuración/Preferencias Avanzadas/HTTPS/SSL/Administrar certificados…

Mozilla Firefox: Preferencias/Avanzado/Certificados/Ver certificados

También desde "Administrar certificados de equipo"

También se puede seguir la guía publicada por Lenovo:

http://support.lenovo.com/us/en/product_security/superfish_uninstall

Listado de equipos Lenovo afectados

G Series: G410, G510, G710, G40-70, G50-70, G40-30, G50-30, G40-45, G50-45

U Series: U330P, U430P, U330Touch, U430Touch, U530Touch

Y Series: Y430P, Y40-70, Y50-70

Z Series: Z40-75, Z50-75, Z40-70, Z50-70

S Series: S310, S410, S40-70, S415, S415Touch, S20-30, S20-30Touch

Flex Series: Flex2 14D, Flex2 15D, Flex2 14, Flex2 15, Flex2 14(BTM), Flex2 15(BTM), Flex 10

MIIX Series: MIIX2-8, MIIX2-10, MIIX2-11

YOGA Series: YOGA2Pro-13, YOGA2-13, YOGA2-11BTM, YOGA2-11HSW

E Series: E10-30

Más información:

VirusTotal: superfish_setup.zip

https://www.virustotal.com/it/file/ce36c63301c351f66410246c5aa4ffc58609030a01043df5fc04930b076ae94a/analysis/1424359702/

Komodia Redirector with SSL Digestor installs non-unique root CA certificates and private keys

http://www.kb.cert.org/vuls/id/529496

Extracting the SuperFish certificate

http://blog.erratasec.com/2015/02/extracting-superfish-certificate.html

LENOVO STATEMENT ON SUPERFISH

http://news.lenovo.com/article_display.cfm?article_id=1929

Instructions to determine if you have the SuperFish application installed and how to Uninstall it:

http://support.lenovo.com/us/en/product_security/superfish_uninstall

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero