Superfish spyware ontdekt op laptops van Lenovo
Lenovo is flink de fout in gegaan. Het bedrijf is betrapt op het standaard meeleveren van malware op haar laptops. De software is bedoeld om advertenties te injecteren in webpagina’s, maar blijkt ook SSL-certificaten te vervalsen om gebruikers op beveiligde websites te kunnen volgen. Dit alles zonder dat de gebruiker hier toestemming voor heeft gegeven.
Dit meldt The Register. Het gaat om de Superfish spyware, software waarmee Lenovo advertenties injecteert in webpagina’s en webverkeer van versleutelde pagina’s blijkt te kunnen onderscheppen. De Superfish software was tot eind vorige maand aanwezig op laptops van Lenovo die nieuw in de winkel worden verkocht. Nadat meerdere klanten op het forum van Lenovo woedend reageerden heeft Lenovo bekend gemaakt de Superfish software niet langer te installeren op laptops.
Onveilige websites lijken veilig
De werkwijze van Superfish is kwalijk te noemen. Superfish voorziet HTTPS-websites van zelf ondertekende SSL-certificaten, waardoor de software gebruikers ook op deze beveiligde websites kan volgen. Ook malafide websites kunnen op deze wijze van een certificaat worden gezien. Gebruikers kunnen hierdoor niet langer het onderscheid maken tussen een veilige en onveilige website, aangezien altijd een SSL-certificaat wordt getoond. Pas bij nadere inspectie blijkt dat het certificaat is ondertekend door Superfish.
Lenovo schrijft in een verklaring op haar website:
“Superfish is voorheen meegeleverd op consumentennotebooks die gedurende een korte periode tussen september en december zijn verscheept. De software was bedoeld om klanten te helpen potentieel interessante producten te ontdekken tijdens het winkelen. De feedback van gebruikers is echter niet positief, vandaar dat wij snel en daadkrachtig hebben gereageerd:
- De server side interactie van Superfish is volledig uitgeschakeld (sinds januari) op alle Lenovo producten, zodat het product niet langer actief is. Superfish is hierdoor op alle producten op de markt uitgeschakeld
- Lenovo is in januari gestopt met het preloaden van de software
- We zullen deze software in de toekomst niet meer preloaden”