PC-gigant leverede computere med farlig software

Lenovo, som er verdens største PC-producent, har lagt en viruslignende software ind på sine bærbare computere, som gør dem mere sårbare over for hackere.

Superfish-programmet har i en periode ligget fast på alle nye bærbare PCer fra Lenovo som et gratis »virtuelt søgeværktøj«, men Lenovo har brugt det til at lægge ekstra reklamer ind på netsider. IT-sikkerhedseksperter kalder programmet for ondsindet software, som øger risikoen for, at ens computer kan hackes.

Ifølge Robert Graham, der er administrerende direktør for det amerikanske IT-sikkerhedsfirma Errata Security, overtager Superfish nemlig krypterede forbindelser og åbner dem, hvilket gør det muligt for hackere at bryde ind og overtage kontrollen med forbindelserne og dermed kunne udspionere al trafik på PCen. Superfish giver sig selv adgang til at styre de krypterede forbindelser og dermed udnævne dem til at være sikre, selv om det ikke er tilfældet.

»Dette skader Lenovos rygte. Det viser den store svaghed, at selskabet enten ikke aner eller er ligeglad med, hvad det installerer på sine bærbare,« siger Robert Graham til nyhedsbureauet Reuters.

Han bakkes op af en række sikkerhedseksperter.

Superfish ligger på bærbare Windows-PCer, som sælges til privatkunder. Det er almindelig praksis, at computerproducenterne forinstallerer forskellige programmer, som de får penge for af softwareproducenterne.

Lenovo, som sidder på omkring en femtedel af det samlede PC-salg i verden, siger i en udtalelse, at Superfish ikke har været installeret fra fabrikken siden januar, og at det nu er blevet slået fra »på alle Lenovo-produkter, så produktet ikke længere er aktivt«.

Lenovo vil ifølge den britiske finansavis Financial Times ikke siger, hvor mange computere der er leveret med Superfish. Men det er sket »i en kort tidsperiode mellem september og december for at hjælpe kunderne med at opdage mulige interessante produkter, når de køber ind«. Lenovo tilføjer, at tilbagemeldingerne fra kunderne ikke var positive, »og vi handlede hurtigt og beslutsomt«.

»Vi standsede forinstallationen i begyndelsen af januar. Vi lukkede også serverforbindelserne, som aktiverer softwaren, og vi levere onlinevejledning med at hjælpe brugerne til at fjerne softwaren,« hedder det i udtalelsen fra Lenovo.

Normalt bruges såkaldte digitale certifikater, når banker og virksomheder vil bekræfte deres identitet over for kunderne, så disse kan stole på, at den beskyttede internetforbindelse faktisk sker til det rigtige sted. Computere, der har Superfish installeret, har derimod fået et såkaldt »selvsigneret rodcertifikat«, som tillader softwaren af erstatte de rigtige certifikater med Superfish’ eget. Derefter kan Superfish lægge ekstra reklamer på selv krypterede netsider som netbanker.