Исследователи компании Duo Security представили отчет на 36 страницах, в котором рассказали, что компании Acer, Asus, Dell, Hewlett-Packard (HP) и Lenovo поставляют в комплекте со своими продуктами опасный софт. Проблемы кроются в так называемом «bloatware», который по-русски часто называют просто «фуфлософт». Это предустановленные программы с избыточной функциональностью. Подобное ПО, к примеру, маскируется под апдейтер для драйверов, но на деле оказывается совсем не тем, чем кажется. Duo Security пишет, что такой софт не только вызывает раздражение, но и подвержен различным уязвимостям.
По данным исследователей, ноутбуки Acer, Asus, Dell, HP и Lenovo содержат по меньшей мере одну опасную уязвимость, способную привести к компрометации всей системы. Более того, большинство багов в bloatware-программах очень просты в эксплуатации, аналитики Duo Security полагают, что с ними справится даже не слишком умелый взломщик.
«Мы взломали их все (некоторые оказались хуже других). Каждый производитель имеет по крайней мере одну уязвимость, которая позволяет осуществить MitM-атаку и выполнить произвольный код с максимальными привилегиями. Мы были бы рады похлопать самих себя по плечу и поздравить с тем, что нашли такие серьезные баги, но, на самом деле, это оказалось слишком легко», — пишут исследователи. — «Рынок OEM-софта многообразен и включает в себя угнетающее количество инструментов для поддержки производителя, бесплатные пробные версии различных программ и прочий crapware, в котором заинтересованы вендоры. Некоторые из этих приложений не делают ничего, только добавляют в систему ярлык, который запускает определенный сайт в браузере».
Исследователи Duo Security напоминают о скандале вокруг компании Lenovo, разразившемся в 2014 году. Тогда производителя поймали на установке на новые устройства программы Superfish, которая фактически являлась трояном. Позже имел место похожий инцидент с компанией Dell и проблемными сертификатами eDellRoot.
Эксперты пишут, что eDellRoot и Superfish – это еще не самое страшное, потому что производители, похоже, вообще не понимают, как работает TLS-шифрование. К тому же единицы производителей производят валидацию и верификацию ПО перед его загрузкой и установкой, что зачастую приводит к появлению в системе вредоносных программ.
По итогам тестов исследователи составили таблицу, которую можно увидеть ниже. В таблице отражено, какие именно уязвимости таятся в bloatware разных производителей. Все протестированные устройства работали под управлением Windows 8.1 или Windows 10. Эксперты проводили исследование на следующих девайсах: Lenovo Flex 3, HP Envy, HP Stream x360 (Microsoft Signature Edition), HP Stream (британская версия), Lenovo G50-80 (британская версия), Acer Aspire F15 (британская версия), Dell Inspiron 14 (канадская версия), Dell Inspiron 15-5548 (Microsoft Signature Edition), Asus TP200S и Asus TP200S (Microsoft Signature Edition).
К таблице приложено пояснение. Суммарно исследователи обнаружили двенадцать различных проблем:
- Dell — опасная уязвимость, связанная с eDellRoot;
- HP – две опасные уязвимости, позволяющие выполнить произвольный код в системе, также было найдено пять менее критических багов;
- Asus – одна опасная уязвимость, позволяющая выполнить произвольный код, и еще одна LPE-уязвимость;
- Acer – две уязвимости, обе позволяют выполнение произвольного кода;
- Lenovo – одна уязвимость, позволяющая выполнить произвольный код.
Фото: Amongtech
