Lenovo製PCにマルウェアがプリインストールされていた

Superfish はアドウェア「Visual Discovery」の通称である。

Superfishは、ブラウザで表示しているウェブサイトに広告を挿入することを目的としています。つまり、ウェブサーバから受信したHTMLを書き換え、広告用のJavaScriptを挿入しています。さらに、普通のやり方では書き換えができない暗号化ウェブサイト（SSL通信サイト）をも書き換えられます。
ところが、その実装方法に脆弱性があり、広告が挿入されるだけでなく、暗号通信の傍受や改ざんができてしまうというのです。

Superfishには、独自のルート認証局を生成するプログラムが組み込まれており、一度これがPC内に生成されてしまうと、本来なら外部の信用のおける機関によって発行されるはずのSSL認証を、Superfishが勝手に偽造できるようになってしまいます。
これにより、銀行やオンラインストアなどのセキュアなウェブサイトへとアクセスする際にも、”Superfishの発行した偽造認証が発行される” ことになります。

この手法を悪用することで「中間者攻撃」を行うことも可能となり、暗号化されたセッションの内容すらも把握・操作できるようになってしまうため、銀行口座のパスワードなどの重要な個人情報すらも第三者の手へと渡ってしまう危険性が高いといいます。

Lenovoは、2015年（平成27年）1月頃にSuperfishのインストールを停止し、Superfishサーバを停止しましたが、2月19日に外部から問題が指摘するやいなや公式声明を発表します。ところが翌20日に脆弱性があることを認め、「Superfishに関するレノボの見解」に修正しました。

Lenovoの見解を整理すると、次のようになります。

1. 2015年（平成27年）1月以降、Superfishはサーバ側で無効化されている。
2. 2015年（平成27年）1月以降、Superfishのプリインストールを停止した。
3. 将来にわたって、Superfishをプリインストールすることはない。

サーバ側の作用を止めたからといって、Superfishのマルウェア活動が停止するわけではありません。このソフトを完全にアンインストールする必要があります。

まず、以下のサイトを使って、Superfishの独自ルート認証局が作られているかどうかをチェックしましょう。

• Check if you trust the Superfish CA

問題が無ければ、

Good, Superfish is probably not interceptiong your connections.

などのメッセージが出ます。

独自ルート認証局が作られている場合は、ルート証明書を削除する必要があります。
Superfish証明書とSuperfishの削除は、Lenovoの公式サイトを参考にしてください。

• Superfishのアンインストール方法

2015年（平成27年）2月21日、Lenovoは「Superfishに関するレノボからのお知らせ」を更新し、Superfish を自動で削除するツールの提供を開始したほか、マカフィーとMicrosoftと連携してSuperfishと関連証明書の隔離と削除のための取り組みを開始しており、この取り組みによってこの問題を認識していないユーザーも自動的にSuperfishに起因する問題を解消できると説明しています。

• Superfishのアンインストール方法：公式
• Check if you trust the Superfish CA
• Lenovo製品にプリインストールされているアドウェアSuperfishに関連する情報をまとめてみた：piyolog
• Superfishが危険な理由：めもおきば
• レノボPCのやつまじでこれやっとけ 一部製品にSuperfishの大穴：PCパーツまとめ
• レノボ、PC製品に危険なアドウェア「Superfish」をプレロード：なんとなく綴ってみた