Achtung: Gefährliche adware Superfish in Lenovo Factory-Install

[gazpel]

-- Update --

advisory von lenovo


Da der private key des Zertifikats mittlerweile geknackt ist können Betroffene sehr leicht angegriffen werden.
Das Zertifikat gilt auch als Signatur für Software es ist also nicht nur beim Surfen gefährlich.
Jeder der davon betroffen ist sollte es umgehend entfernen.

Test:
Ob man betroffen ist kann man hier testen.
Wenn der Browser keine Zertifikatswarnmeldung anzeigt ist man betroffen!

ibmthink hat eine Liste betroffener Serien gepostet.

Erste Hilfe:

Automatisch:
Anleitung von Lenovo mit Removal-Tool
Windows Defender kann es auch entfernen

Manuell:
1. Superfish (Visual Discovery) deinstallieren. (neue Deinstallationsanleitung )
2. Das superfish Zertifikat löschen: windows, firefox/thunderbird

Nachdem alle Zertifikate entfernt wurden muss auch noch der browsercache gelöscht werden.
Um sicher zu gehen dass alles OK ist den Test erneut durchführen!

Weiterführende Empfehlungen:
1. Daten sichern
2. Betriebssystem neu installieren (Nicht über die recovery partition oder davon erstellen Medien!)
a) Windows clean-install
b) Linux Ubuntu Schnelleinstieg
3. Mit dem sauberen Betriebssystem sämtliche Passwörter zu Online-Accounts ändern die auf dem betroffenen System eingegeben wurden, angefangen beim primären E-Mail Account.

Links
Pressemitteilung von Lenovo
heise
chip

-- Originalpost --
Nennt sich superfish und klinkt sich auch in SSL Verbindungen ein (mit einem eigenen Zertifikat) was ein immenses Sicherheitsrisiko darstellt.

Betroffen sind mindestens die Geräte der Y,P und Z Serien, aber paranoid wie ich bin empfehle ich auch allen anderen Thinkpad Besitzern die noch mit der Factory-Install unterwegs sind eine clean-install.

http://www.engadget.com/2015/02/19/lenovo-superfish-adware-preinstalled/

https://forums.lenovo.com/t5/Lenovo...-adware-spam-Superfish-powerd-by/td-p/1726839

 

[gru3n3r]

Und Thunderbird!

http://arstechnica.com/security/201...uperfish-malware-what-lenovo-doesnt-tell-you/

Lenovo wollte ihren Usern halt nicht nur beim Banking, sondern auch beim Mail schreiben helfen. Ich kann das verstehen, man bekommt die Bestellbetätigungen ja per Mail, da muss man schon Einblick haben.

 

[gazpel]

Das Zertifikat erlaubt auch die Signatur von Software :facepalm:

Ausserdem ist es wohl aus einem SDK/Framework der Firma komodia und wird auch in deren Produkten verwendet.

 

[gestern]

@ gazpel geiles pic *gröhl* auch wenn das ganze nicht zum lachen ist.

Normal müßte ja da Superfish unter den installierten Programmen auftauchen oder? Hab zwar nur ThinkPads aber das macht mich nachdenklich, Schützen kann man sich zwar sowieso nicht, siehe NSA und Festplattenhersteller.

ja aber bei der uninstall routine bleiben die certifikate erhallten und in den juserprofilen die entsprechenden ordner auch.

und für diejenigen die ein pc ohne fisch betreiben und ein laptop mit fisch hatten/haben habe ich mal eine frage, insbesondere bei synchronisierungen über die cloud,
inkl. benutzereinstellungen.
findet man dann die zertifikate auch auf den "uhrsprünglichenen" sauberen PC, nachdem synchronisiert wurde ?
weiss das jemand, oder hat jemand die möglichkeit das noch zu testen bevor alles Platt gemacht wird ?

 

[think_pad]

Schützen kann man sich zwar sowieso nicht, siehe NSA und Festplattenhersteller.

Ja, das ist etwas dran. Auf der anderen Seite fragt man sich natürlich oft, wie die diese ganzen Information auswerten wollen...

---

---​

 

[AndreasBloechl]

Klar, aber ich denke mal über die Suchfunktion wird das schnell gehen. Nur sind wir halt einige unter Millionen, wer das nicht will muß vom Netz bleiben.

 

[gestern]

Ja, das ist etwas dran. Auf der anderen Seite fragt man sich natürlich oft, wie die diese ganzen Information auswerten wollen...

die diskusion sollte zwar im anderem fred stattfinden, aber die grossen schnüffler können sicher ein dutzend millionen daten in der sekunde abgleichen
die betreiben riesige rechenzentren.
fazit : die zeiten in der man in der masse der riesigen datenmengen unterging, sind definiv vorbei.

 

[Mornsgrans]

Heise hat inzwischen ihren Artikel aktualisiert, Thunderbird dabei vergessen, jedoch ein weiteres Zertifikat und die Platform genannt, das die Superfish-Misere ausgelöst hat, da Superfish darauf aufbaut:

Mittlerweile ist bekannt, dass sich auch Software von Komodia mit einem Root-Zertifikat in Computersystemen verankert. Im Detail scheint das sogar der Ursprung der ganzen Misere zu sein, denn Superfish setzt auf ein Software Development Kit von Komodia. Betroffen sind die Filter-Tools Keep My Family Secure, Qustodio und Kurupira.

 

[ThinkBrett]

CHIP hat ganz aktuell auch einen Artikel dazu: So entfernen sie Superfish.

 

[Mornsgrans]

Und hier kann man feststellen, ob der eigene Rechner betroffen ist:
https://www.canibesuperphished.com/ - ist auf der Chip-Seite, die ThinkBrett gepostet hat, verlinkt.
(erfolgt keine Sicherheitswarnung, ist man betroffen)

 

[KalvinKlein]

Mein Yoga 2 ist sauber , da war aber auch ab Werk nichts wildes drauf , ... alle Stellen untersucht ...

Auch auf der Original HDD (in meinem Yoga werkelt seit Anbeginn eine SSD ) nichts zu finden...

 

[ibmthink]

Es gibt jetzt ein Tool von Lenovo zur automatischen und kompletten Deinstallation von Superfish mit all seinen Überresten und dem Zertifikat: http://support.lenovo.com/us/en/pro... Customer Service and Support&linkId=12486011

Weiteres Update der Pressemitteilung: http://news.lenovo.com/article_disp... Customer Service and Support&linkId=12486077

 

[AndreasBloechl]

Soviel ich sehen kann ist mein L420 auch sauber. Aber trotzdem blöd wenn man so etwas liest, das T43 mit Xp drauf habe ich noch nicht getestet, denke aber das ist zu alt.

 

[Mornsgrans]

ThinkPad Tablet 2 ist wohl ebenfalls sauber, da vor dem in Frage kommenden Zeitraum produziert.

Beitrag #51 in die Ankündigung aufgenommen

 

[fb1996]

Windows Defender erkennt Superfish mittlerweile ebenfalls als Malware und kann sowohl die Software als auch das Zertifikat entfernen:
http://www.windowscentral.com/windo...ish-and-its-root-certificate-lenovo-notebooks

 

[Mornsgrans]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{74F475FA-6C75-43BD-AAB9-ECDA6184F600}
DllName: SuperfishIEAddon.dll;SuperfishIEAddon.dll

Zu finden im Clean Install von Windows 7
Quelle

Die DLLs selbst sind aber offenbar auf dem Rechner nicht zu finden.

 

[Helios]

Die DLLs selbst sind aber offenbar auf dem Rechner nicht zu finden.

Danke Morns für die Info... nein, weder bei Windows 7 noch Windows 10 sind die DLLs vorhanden.

 

[gazpel]

Ob der Key wirklich bereits von Microsoft installiert kann man daraus noch nicht ablesen. Bisher haben sich jedoch Besitzer unterschiedlicher Hersteller gemeldet und gesagt, dass in der Werksinstallation dieser Key vorhanden ist.

Interessant wäre zu wissen, wie dieser Key dorthin gekommen ist. So ganz ohne Dateien richtet er zwar erstmal keinen Schaden an aber allein die Existenz könnte ein Indiz dafür sein, dass auch andere OEMs oder sogar Microsoft selbst mit dieser Software experimentiert haben.

 

[ibmthink]

Dieser Key hat in meiner Registry auf diese Seite verlinkt: http://support.microsoft.com/kb/2520435 Scheint also lediglich ein harmloser Kompatibilitätsverweis zu sein.

 

[Helios]

Ob der Key wirklich bereits von Microsoft installiert kann man daraus noch nicht ablesen. Bisher haben sich jedoch Besitzer unterschiedlicher Hersteller gemeldet und gesagt, dass in der Werksinstallation dieser Key vorhanden ist.

Interessant wäre zu wissen, wie dieser Key dorthin gekommen ist. So ganz ohne Dateien richtet er zwar erstmal keinen Schaden an aber allein die Existenz könnte ein Indiz dafür sein, dass auch andere OEMs oder sogar Microsoft selbst mit dieser Software experimentiert haben.

Der Key ist bei einer Clean Install von Windows 7 Ultimate SP1 (x64) mit durchgeführten Windows Updates (ausser Silverlight) vorhanden(!). Die entsprechenden, unten aufgeführten DLLs jedoch nicht.

LG Uwe

 

[cuco]

Ja, da es ja auch nur ein Kompatibilitätsverweis ist. Da IE9 mit Superfish crasht, hat Microsoft per Update diesen Verweis ausgeliefert, der vermutlich verhindert, Superfish mit IE9 zu installieren. Siehe Beitrag von ibmthink.