22 de febrero de 2015

MALWARE. Los portátiles Lenovo incluyen regalo envenenado

 El regalo incluido por Lenovo, recibe el nombre de Superfish. Un adware que no solo se conforma con insertar publicidad como cualquier otro. Como todo adware inyecta anuncios no deseados de terceros sin permiso del usuario. Pero además de la molesta publicidad indeseada deja todos los ordenadores expuestos a ataques "hombre en el medio" al incluir un certificado raíz autofirmado.
 Si ya de por sí la inclusión del adware puede considerarse grave, ha sido el conocimiento de la existencia de este certificado raíz lo que ha hecho que saltaran todas las alarmas.
Chris Palmer, ingeniero de seguridad de Google, confirmó que Superfish genera certificados autofirmados para cualquier conexión cifrada, incluso las que se realizan con entidades bancarias.
 Lo que es peor, ya han obtenido la contraseña que cifra la clave privada del certificado. Lo que significa que el certificado privado ya es público, y cualquiera podría interceptar las comunicaciones cifradas de los usuarios de los portátiles Lenovo infectados
 Curiosamente la clave de cifrado ("Komodia") tampoco es un especialmente segura, ya que viene del nombre del SDK empleado para integrar servicios proxy e inyección de tráfico web. Realmente se ha comprobado que es Komodia Redirector SDK el que ha incluido ese certificado. Ya que todo el software que hace uso de este SDK también incluye certificados raiz (como Superfish Visual Discovery o KeepMyFamilySecure).
Lenovo ha reconocido el problema, no le quedaba otra, y ha confirmado que dejó de incluirlo en enero. Cuando la gente empezó a reportar los primeros problemas con Superfish.
La detección de esta adware por parte de los antivirus es de 17 de entre 55. A raíz de esta polémica muchos antivirus han actualizado sus firmas para detectarlo (y otros seguirán haciéndolo), ayer mismo la detección todavía era baja (6/57).
Eliminar Superfish
  •  Ahora que se conoce la clave del certificado raíz en más importante aun que todos los usuarios afectados eliminen este componente de sus sistemas. Es fácil saber si se está infectado por este adware, ya que al navegar aparecerán anuncios inyectados marcados como "Powered by VisualDiscovery".
  •  Para eliminar el software se puede hacer desde el Panel de Control. También es recomendable reiniciar la configuración de los navegadores. Y reiniciar después.
  •  Pero esto solo elimina el componente encargado de inyectar los anuncios. Además se debe eliminar el certificado instalado por este software.
 Se puede hacer desde: 
  1. Internet Explorer: Herramientas/Opciones de Internet/Contenido/Certificados
  2. Google Chrome: Configuración/Preferencias Avanzadas/HTTPS/SSL/Administrar certificados…
  3. Mozilla Firefox: Preferencias/Avanzado/Certificados/Ver certificados
 También desde "Administrar certificados de equipo"
Listado de equipos Lenovo afectados
  • G Series: G410, G510, G710, G40-70, G50-70, G40-30, G50-30, G40-45, G50-45
  • U Series: U330P, U430P, U330Touch, U430Touch, U530Touch
  • Y Series: Y430P, Y40-70, Y50-70
  • Z Series: Z40-75, Z50-75, Z40-70, Z50-70
  • S Series: S310, S410, S40-70, S415, S415Touch, S20-30, S20-30Touch
  • Flex Series: Flex2 14D, Flex2 15D, Flex2 14, Flex2 15, Flex2 14(BTM), Flex2 15(BTM), Flex 10
  • MIIX Series: MIIX2-8, MIIX2-10, MIIX2-11
  • YOGA Series: YOGA2Pro-13, YOGA2-13, YOGA2-11BTM, YOGA2-11HSW
  •  E Series: E10-30
Más información:
Fuente: Hispasec