顯示廣告
隱藏 ✕
※ 本文為 MindOcean 轉寄自 ptt.cc 更新時間: 2017-03-08 00:01:44
看板 Gossiping
作者 changbsd (............)
標題 [新聞] 聯想終於道歉,證實筆電預載惡意程式
時間 Tue Mar  7 20:33:53 2017


1.媒體來源:
※ 例如蘋果日報、奇摩新聞
iThome新聞

2.完整新聞標題:
※ 標題沒有寫出來 ---> 依照板規刪除文章
聯想終於道歉,證實筆電預載惡意程式

3.完整新聞內文:
※ 社論特稿都不能貼! 違者退文,貼廣告也會被退文喔!
筆記型電腦大廠聯想(Lenovo)驚爆部分消費型筆記型電腦,因為預載第三方廣告軟體
SuperFish,不僅會變更搜尋結果、插入廣告、綁架合 法SSL/TLS連線、造成中間人攻擊
,更可外洩使用者包括SSL傳輸的銀行帳戶、社交網路等個人資料。聯想技術長Peter

Hortensius於2月19日在官方網站公開道歉,也同步釋出移除工具。趨勢科技全球技術長
Rik Freguson則在部落格表示,SuperFish可以藉由蒐集網路資訊、自行生成各種所需憑
證,將對企業帶來難以預估的資安風險。


SuperFish風波牽連甚廣,使用者抱怨頻仍

在聯想使用者論壇從2014年9月到今年1月,便陸續有使用者公開表示,部分安裝
SuperFish的筆記型電腦都出現挾持用戶電腦的搜尋結果,並擅自置入第三方廣告,還會
以假冒的HTTPS根憑證矇騙瀏覽器,進而綁架SSL/TLS連線等類似的惡意行為。

事 實上,聯想用戶iknorr去年9月間就在聯想論壇上反映,他以Chrome瀏覽器使用Google
搜尋時,搜尋結果中會被插入廣告。經追查則發現,廣告 來自SuperFish這個廣告軟體,
再仔細研究安裝日期,發現竟是內建在自己的聯想電腦中,這個廣告軟體會挾持用戶電腦
的搜尋結果,並擅自置入第三方廣 告。


根據聯想事後發出的聲明,該公司的確是在2014年9月開始在部份消費型筆電機型中預載
SuperFish。

今年1月,就有使用者zibartsk直言指出,更大的風險在於,SuperFish使用自行簽章的
HTTPS根憑證(RootCA),可矇騙瀏覽器、認定為合法網站,並進而綁架SSL/TLS連線。

除了使用者外,也有資安研究員Marc Rogers展示一個由SuperFish冒充美國銀行所發出的
憑證,這樣的手法也證明,當該惡意廣告軟體可以透過偽冒的合法網站憑證、欺騙瀏覽器
時,也意味著,消費者根本無法信任任何網站。


另 外,有資安公司Errata Security安全研究人員Robert Graham解析SuperFish的憑證,
僅用了3小時的逆向工程,就破解其加密密碼為komodia。他表示,如果金鑰流傳出去,就
可用該憑證進行中 間人攻擊。而Komodia不但是密碼,同時也是一家專門提供SSL「重新
導向」工具的公司,另一安全研究人員Filippo Valsorda指出,Superfish的廣告注射功
能就是使用了Komodia的SSL攔截引擎。


 Rik Freguson在部落格分析SuperFish的資安風險,他更將該廣告軟體視為會隱藏在電腦
中、偷竊使用者身分資料的間諜軟體(Spyware)。若 進一步分析該廣告軟體特色,最關
鍵在於:可以自行蒐集使用者資訊,並安裝自行簽署的根憑證。這類的憑證都是為了確保
透過SSL加密傳輸的資訊是安全的,但 是,Rik Freguson指出,透過這些假憑證,

SuperFish也可以偽裝成安全、受信任的目的網站,進行中間人攻擊。

這也意味著,SuperFish可以自行產生各種所需的憑證,所有的瀏覽器都會信任使用該憑
證的網站都是合法網站;包括各種社交媒體的帳號密碼、銀行帳密,甚至是各種線上交易
,都可能因為信任的是假憑證,致使原本應該是加密的資料遭到外洩或被解密。


臺 灣趨勢科技資深技術顧問簡勝財指出,因為SuperFish會蒐集網路流量資訊,偽造根憑
證,造成SSL傳輸的資料被側錄、擷取,原本安全的加密資料,都 可能被解密。隨著企業
自帶裝置(BYOD)的風氣盛行,企業內只要存在一個可以偽造企業根憑證的裝置或設備,
就可能影響到全公司。「這才是企業內面對的最 大風險。」他說。


臺灣賽門鐵克資深技術顧問張士龍則指出,因為SuperFish會監控使用者網路行為,不只
會自動插入網站廣告,還可能收集使用者個人資料外傳,「這些行為都會讓使用者個資,
暴露在極高的風險中。」他說。


但簡勝財建議,為了確保企業內部自帶裝置的安全性、仍建議做內部資產盤點,確保是否
有受到惡意廣告程式感染的聯想筆電,並應儘速移除該惡意程式與憑證,以確保企業內部
和使用者的安全。


聯想宣稱ThinkPad系列不受影響,防毒軟體已可偵測移除

聯想也在2月19日新聞稿中解釋,為了提供客戶更好的使用者經驗,所以,在2014年9月~
12月出貨的部份筆記型電腦中,預載了SuperFish這個第三方軟體,可以提供視覺化的網
路搜尋功能,不需要確切知道或描述產品特徵,就可找到類似的產品。


Peter Hortensius在官網致歉後,他也說,從今年1月後,所有出貨的聯想筆電都已經移
除內建SuperFish軟體並關閉伺服器,未來也不會安裝在其他 任何產品;先在2月19日釋
出可以手動移除SuperFish的移除程式;並於2月20日釋出可以自動移除SuperFish的移除
程式。微軟則將移除工 具整併在Windows Defender 1.193.444.0版。McAfee、賽門鐵克
、趨勢科技等防毒軟體業者,則正式將SuperFish視為惡意廣告軟體,可以偵測並移除。

一般而言,這類具有廣告搜尋功能的軟體,多數資安防毒業者會視為灰色軟體,並未直接
納入封鎖或移除的惡意程式資料庫中,所以,簡勝財表示,一直到聯想公開致歉並釋出移
除程式後,各家防毒軟體公司,才將SuperFish視為具有惡意的廣告軟體。


預 載SuperFish惡意廣告軟體的電腦,都是聯想2014年9月~12月出貨的消費型筆記型電
腦,包括:E系列、G系列、S系列、U系列、Y系列、Z系 列、Flex系列、Edge系列、Miix
系列及平板電腦Yoga系列。至於主要受影響的瀏覽器則包括:微軟的IE、Google Chrome
、Opera、Safari、Maxthon等,Firefox用戶則不受影響。


根據聯想資安通報(Lenovo Security Advisory)LEN-2015-010,此次SuperFish帶來的
資安風險範圍,僅限於上述型號的消費型筆記型電腦,該軟體並沒有安裝在聯想桌 上型
電腦Lenovo Desktop、商用系列產品:ThinkPad筆記型電腦、ThinkCenter桌上型電腦、
ThinkStation工作站、伺服器 ThinkServer及System x等產品線。文⊙黃彥棻、林妍溱

4.完整新聞連結 (或短網址):
※ 當新聞連結過長時,需提供短網址方便網友點擊
http://www.ithome.com.tw/news/94193
聯想終於道歉,證實筆電預載惡意程式 | iThome
[圖]
聯想部分消費型筆電預載惡意軟體SuperFish,恐成中間人攻擊幫兇導致加密傳輸破功,ThinkPad企業產品不受影響,專家籲企業進行資產盤點確保安全 ...

 

5.備註:
※ 一個人一天只能張貼一則新聞,被刪或自刪也算額度內超貼者水桶,請注意
.........大陸廠牌的好恐怖

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.116.1.136
※ 文章代碼(AID): #1OlgYqnu (Gossiping)
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1488890036.A.C78.html
milkyway168: 中國電腦1F 03/07 20:34
makimakimaki: 26的驕傲2F 03/07 20:34
BF109Pilot: 大陸的電子或軟體產品我都預計有木馬的3F 03/07 20:34
daxer: 最大贏家4F 03/07 20:34
whitesmith: 安裝360嗎5F 03/07 20:34
LionKing: 好誇張6F 03/07 20:35
cmj: 最近是怎樣... 先hao123,再來又聯想7F 03/07 20:35
BF109Pilot: 聽說連熨斗都被抓過裡面有奇怪的電路8F 03/07 20:35
cmj: 是受到什麼威脅了喔?9F 03/07 20:35
ray90910: 怎摸被中國收購就變成這樣10F 03/07 20:35
IHD: 這是被抓的善液的意思嗎? 怎麼沒說這是善液啊?11F 03/07 20:35
alog: 這已經不是道不道歉的問題了吧 你偽造簽證的用途已經不是搭12F 03/07 20:35
lay10521: 前打123 後打36013F 03/07 20:36
alog: 載hao123那種問題了啊 幹他媽的垃圾牌14F 03/07 20:36
LionKing: 熨斗?熨斗是能幹嘛ww 除了裝針眼以外還能怎麼利用15F 03/07 20:36
buyo: 道歉? 會預載這種軟體100%是故意的啦16F 03/07 20:36
KangSuat: 日本使用者也知道17F 03/07 20:36
kickmeout: 還好我現在不用thinkpad18F 03/07 20:36
whitecow: 2015的新聞?19F 03/07 20:36
SEEDA: 筆電就這牌最難用  think pad系列也是 開機就有機會當機20F 03/07 20:36
whitecow: 手機我都不敢碰...肯定更嚴重...還支付寶21F 03/07 20:37
俄海關截獲 中國製熨斗、電熱壺藏間諜晶片 - 國際 - 自由時報電子報
[圖]
在俄羅斯遭控贈送含木馬病毒的隨身碟給二十國集團與會者之後,又傳出俄羅斯海關人員在中國出口的家電,包括電熱水壺、熨斗、手機與行車紀錄器中發現藏有微型竊聽晶片,通電時藉由未加密無線網路WiFi連結兩百公尺內的電腦,將在俄國蒐集的資料傳回中國伺服器。可情蒐200公尺內電腦資料 ...

 
trashpoking: 太屌了..聯想要混嗎?23F 03/07 20:37
s655131: 講過幾百遍....大陸廠牌不要用 就是不聽24F 03/07 20:38
MetalRose: 智障才用lenovo,還好我都用 Mac25F 03/07 20:38
uglyfinger: KMTer專用Lenovo上ptt26F 03/07 20:38
Balders: 以前大陸廠的S牌行動硬碟 也被爆出有安裝間諜程式27F 03/07 20:38
isCcup: 中共不ey28F 03/07 20:39
KangSuat: 中國就是雷29F 03/07 20:39
a5648183: 支那品牌不EY = =30F 03/07 20:39
whitecow: 死雞仔行動硬碟嗎31F 03/07 20:39
Balders: 3C經過中國 感覺資料都不太安全@@32F 03/07 20:40
kickmeout: 熨斗有奇怪的電路是怎樣?收集衣服的DNA嗎33F 03/07 20:40
winiS: 不意外,各家筆電買來都是塞一堆34F 03/07 20:40
KangSuat: lenovo要重灌才會砍掉預載的東西 光升win10沒用35F 03/07 20:41
jasonkey123: 其實google也在做類似的事36F 03/07 20:42
hkd2: 反正講再多都有不怕死的會去用37F 03/07 20:42
bronx0807: 中國的產品還是少用為上38F 03/07 20:42
lwrwang: 大陸公司不意外39F 03/07 20:42
hkd2: 就更硬要跟中國綁在一起的kmter一樣40F 03/07 20:42
tsgd: 所以中國的手機也可以合理懷疑41F 03/07 20:42
lwrwang: 說google有作同樣事情的人有證據嗎?42F 03/07 20:43
Simonfenix: 這跟可移除HAO123的程式一樣可怕來著....43F 03/07 20:43
e1q3z9c7: 毫不意外44F 03/07 20:43
SuperUp: 干 家裡有台聯想PC 看來也要檢查一下45F 03/07 20:43
qazwsx176: 中國產品你意外嗎46F 03/07 20:44
e1q3z9c7: 咕狗臉書其實都在盜用個資在賣錢 算是免費服務的代價47F 03/07 20:44
slimak: 請吱吱不要抹黑48F 03/07 20:44
MetalRose: 筆電品牌那麼多,為什麼偏偏要買 Lenovo???49F 03/07 20:44
linceass: 在這個國家只要道歉就沒事了 Y50F 03/07 20:44
rondox: 再用啊,活該51F 03/07 20:45
aitela: 垃圾品牌,送我都不要用52F 03/07 20:46
leron: 中國品牌不意外,這樣才能監控全世界的電腦53F 03/07 20:46
skyringcha: 中國品牌不意外!54F 03/07 20:47
linceass: 9.2:台灣人太自由了55F 03/07 20:47
basesam: 中國的都不碰56F 03/07 20:47
getwild: 今天安裝三台全新asus筆電,也好不到哪裡去,剛安裝防毒57F 03/07 20:48
popy8789: 之前看過幾個說用小米也不會怎樣的 呵呵58F 03/07 20:48
getwild: 軟體,就偵測到一堆預載軟體有威脅。59F 03/07 20:48
popy8789: 中國就是不安好心60F 03/07 20:49
kw003266: 支那企業94猛61F 03/07 20:50
UnsraW: 內建九二共識62F 03/07 20:50
octopus4406: 中國廠牌不意外啊63F 03/07 20:53
legendrl: 內建共產意識64F 03/07 20:53
winiS: 預載很少會被抓的,要不要貼上來?65F 03/07 20:56
cuteclare: ...光道歉有個毛用66F 03/07 20:58
adairchang: 中國或成最大贏家67F 03/07 20:58
donnalee: 不懂他在道歉什麼意思的68F 03/07 21:00
sunnybody907: 敢用支那3C產品的人真不簡單69F 03/07 21:02
Dethklok: 幹你娘 破走狗 趕快牽拖 ASUS !!!!!!!!!!!!!!!!!!!!!!70F 03/07 21:02
ohmylove347: 很好,拒絕這家71F 03/07 21:04
CCNK: 123前些天也在道歉72F 03/07 21:04
a5648183: 很多企業用戶向來習慣採購thinkpad真的會被嚇到哭,不知73F 03/07 21:07
a5648183: 道有多少負責採購的要被叫去夾卵蛋了幫QQ
adairchang: 小米用戶不知道開始怕了沒XD  現在很多驗證都綁手機呢75F 03/07 21:09
hancao0816: hao 12376F 03/07 21:09
uini: 跟hao123有87分像,幸好從不用這種牌77F 03/07 21:11
bobyhsu: Firefox 或成最大贏家78F 03/07 21:11
xdctjh: 喜憨兒才買中國貨79F 03/07 21:11
Dethklok: 黨工走狗還要說,不做虧心事,不怕監看監聽! 真幹你娘!80F 03/07 21:13
zntn: 某樓想拉google帶風向,先提出證據好嗎!81F 03/07 21:15
iceyeman: 齁齁 還好我都 重灌的 這廠用料越來越....82F 03/07 21:17
Liaooo: 支那或成最大贏家83F 03/07 21:19
gogoegg: 預載真的是太扯了 = =84F 03/07 21:20
iceyeman: thinkpad 已經沒有以前龜毛的細節了....85F 03/07 21:21
songyy2003: 螂性就是賤86F 03/07 21:21
titian1495: 中國製造,監控保證87F 03/07 21:22
Sylph: 幹!串國貨88F 03/07 21:24
SHIU0315: @ @89F 03/07 21:27
wrbdnombd: 聯想平板半年壞3次就封殺了90F 03/07 21:29
xzp436: 中國產品91F 03/07 21:29
asgardgogo: 用中國牌死好 小米呢92F 03/07 21:30
Dethklok: 高調推93F 03/07 21:30
moonchaser: 我才剛買一台x1 carbon 4th94F 03/07 21:30
e65947: 佛心公司95F 03/07 21:32
acer758219: 支那品牌不意外96F 03/07 21:36
figgy: 中國產品不意外,而且不可能是部分產品,而是全部產品!97F 03/07 21:37
Dethklok: 幹你娘 破走狗!! 牽拖asus 等著被告!!!98F 03/07 21:38
dennisto: 廠廠 IBM筆電被支那買走就是等著放毒99F 03/07 21:41
sobiNOva: 不易外100F 03/07 21:41
kosuke: 包藏禍心不意外 一堆智障看到價格就買了101F 03/07 21:42
ajan007: 寧願買宏碁也不買大陸牌102F 03/07 21:42
garcia: 連結祖國 一解鄉愁103F 03/07 21:43
dennisto: 支那人到底要脆弱到什麼程度啊 什麼東西都要側錄104F 03/07 21:43
Dethklok: 黨工走狗還要說,不做虧心事,不怕監看監聽! 真幹你娘!105F 03/07 21:45
zozoz: 支拿狗牌 白癡才用 啥小米 華威 都是垃圾106F 03/07 21:47
wayaba: 螂性107F 03/07 21:47
willy10207: 舊聞108F 03/07 21:48
dave0213: 有沒有人發現這是2015年的新聞啊109F 03/07 21:50
donotrefuse: 支那產品都有問題  黑心大國110F 03/07 21:50
zxc2331189: 支那最愛這招啊111F 03/07 21:50
yoyostar1990: 前年新聞112F 03/07 21:51
kuter: 幹 貼啥2015年新聞113F 03/07 21:52
JameC: 我只用hao123114F 03/07 21:59
eric112: 視個資如糞土的cp魔人:我不是重要人士沒關係115F 03/07 22:00
blacktea5566: 中國品牌ZZZ116F 03/07 22:03
dddc: 現在GOOGLE還是可以看到新的災情阿  舊聞還是可以用=_=117F 03/07 22:23
mudee: 被監看還要自己花錢買機器的概念  沒知識的才會用中國3c118F 03/07 22:24
vul3vmp4: 支那貨 不意外119F 03/07 22:26
sediments: 深思熟慮後決定買一坨屎 然後你抱怨他會發臭?120F 03/07 22:29
AxelGod: 好險我今年才買 幹 不會今年也有!?121F 03/07 22:31
imirving: 快安裝金山毒霸壓壓驚122F 03/07 22:34
cheetahspeed: 還好我裝了hao123 完全不怕123F 03/07 22:37
TWLAB: 支那貨不ey124F 03/07 22:40
Moscato: 這新聞不是有兩三年了印象中=.=125F 03/07 22:40
最近一些資安討論又把這個案例拿出來講0.0
gdtg10900: 台灣人只看cp值其他不重要啦126F 03/07 22:48
nineuniverse: 我以為會買中國品牌3C的就是不介意這種事欸127F 03/07 22:48
charmingpink: 中國不意外128F 03/07 22:52
freshego: 賣給大陸之後不意外阿129F 03/07 22:53
XDDDpupu5566: 從來不買支那品牌就是這樣130F 03/07 22:55
aghgna: 還有人敢用這家喔131F 03/07 22:56
germing: 中国品牌不裝惡意程式可能嗎?132F 03/07 23:00
※ 編輯: changbsd (218.164.2.239), 03/07/2017 23:03:58
peter105096: 太神啦133F 03/07 23:04
badkidXD:  支那豬的垃圾還敢用134F 03/07 23:07
a6444long: 26牌電腦內建有毒程式很意外嗎??135F 03/07 23:09
jajoy: 爛 支持台灣筆電136F 03/07 23:10
goenitzx: 中國人是有甚麼毛病...137F 03/07 23:11
qphone: 無知才去買中國品牌的電腦138F 03/07 23:12
ck290996: 真可怕,絕對不買-.-139F 03/07 23:12
bj45566: 聯想這樣只會把自己搞死... 白癡...140F 03/07 23:13
ndtoseooqd: 426牌不意外141F 03/07 23:23
linwukin: 幹  講白話一點啦142F 03/07 23:27
sharkimage: ...143F 03/07 23:29
s81048112: 支那不意外 垃圾產品144F 03/07 23:30
CelicaGT: 中國品牌不意外,不只電腦,還有人買中國網路通訊設備.什145F 03/07 23:35
rayonwu: 高調146F 03/07 23:35
CelicaGT: 麼可以看免費影劇的盒子啦.我看失去的比得到的更多XDDD147F 03/07 23:36
croweva: 2015年的新聞~~經過小模的事件還是沒有增加智商,看到148F 03/07 23:38
croweva: 黑影就開槍
almondchoco: 狗國牌150F 03/07 23:41
rjrsaxiwao: 靠,雖然我沒買,但這太過份了吧151F 03/07 23:44
kikujiro: 最近國人一直道歉?這真的是新聞欸152F 03/07 23:49
eas06u4: 支那水平正常發揮153F 03/07 23:53
TomChu: 這是道歉就能解決的事嗎…154F 03/07 23:57

--
※ 看板: Gossiping 文章推薦值: 3 目前人氣: 0 累積人氣: 14299 
※ 本文也出現在看板: PttHot K_hot
分享網址: 複製 已複製
( ̄︶ ̄)b a0987789369, u9785878 說讚!
1樓 時間: 2017-03-07 22:51:28 (台灣)
  03-07 22:51 TW
共慘黨真的把中國人搞得很賤
2樓 時間: 2017-03-07 23:24:33 (台灣)
  03-07 23:24 TW
天網國
3樓 時間: 2017-03-07 23:48:24 (盧森堡)
  03-07 23:48 LU
筆電品牌唯一支持富士通 大日本帝國就是讚!!
4樓 時間: 2017-03-08 06:28:40 (台灣)
  03-08 06:28 TW
···
為了錢,可以完全不擇手段。
5樓 時間: 2017-03-08 06:29:20 (台灣)
  03-08 06:29 TW
···
台灣就是太多這種骯髒公司。
6樓 時間: 2017-03-08 07:57:52 (台灣)
  03-08 07:57 TW
···
壞透了
7樓 時間: 2017-03-08 08:48:53 (台灣)
  03-08 08:48 TW
···
之前在網路上還看到某些言論  說自己又不是什麼大人物  就算有木馬被盜個資也沒差   講這些言論的人真不知從哪冒出來的....
8樓 時間: 2017-03-08 09:14:16 (台灣)
  03-08 09:14 TW
···
Tisp 快去採購你們祖國(支那)的筆記型電腦以及桌上型電腦 記得忠黨愛國使用支那貨!
9樓 時間: 2017-03-08 09:21:17 (台灣)
  03-08 09:21 TW
所以之前採購NB絕不考慮中國品牌
10樓 時間: 2017-03-08 10:02:12 (台灣)
  03-08 10:02 TW
聯想以後都不會有superfish...那個誰..開始superfish2.0計畫
11樓 時間: 2017-03-08 10:09:34 (台灣)
  03-08 10:09 TW
究竟要多麼嚴重的智障?!
才會在發生過那麼多共匪竊密盜取隱私檔案之後
還繼續使用共匪廠牌手機?
話說回來…
那些愛用共匪廠牌的人大部分都是敗德低能9.2
結果現在被(真心換絕情)
只能夠用這個圖來安慰牠們了…
[img 7qas uploading...]
12樓 時間: 2017-03-08 10:30:43 (台灣)
  03-08 10:30 TW
[圖]
13樓 時間: 2017-03-08 12:02:30 (台灣)
  03-08 12:02 TW
426....
14樓 時間: 2017-03-08 12:03:32 (台灣)
  03-08 12:03 TW
買聯想電腦只能買沒有OS, OS自己安裝
15樓 時間: 2017-03-08 13:33:54 (台灣)
  03-08 13:33 TW
還好 我的筆電買來都先重灌
16樓 時間: 2017-03-08 21:55:50 (盧森堡)
  03-08 21:55 LU
我筆電買來直接把原廠硬碟換掉用自己的
17樓 時間: 2017-03-08 22:08:41 (台灣)
  03-08 22:08 TW
還好恁爸都安裝 Linux and BSD
18樓 時間: 2017-03-10 16:10:03 (美國)
  03-10 16:10 US
支那產的不意外
r)回覆 e)編輯 d)刪除 M)收藏 ^x)轉錄 同主題: =)首篇 [)上篇 ])下篇