Superfish: Des PC Lenovo vendus avec un dangereux mouchard

Lenovo pris la main dans le pot à confiture. Mercredi, le fabricant chinois a reconnu que certains PC portables vendus entre «septembre et décembre» étaient équipés d'un logiciel commercial baptisé «Superfish». Mais face «au retour qui n'était pas positif», Lenovo l'a désactivé en janvier.

Officiellement, Superfish devait «aider des clients à découvrir de nouveaux produits en faisant du shopping». Mais selon des chercheurs d'Errata Security, il s'agissait d'un dangereux mouchard permettant d'injecter des publicités dans des connexions protégées. Pire, il faisait apparemment sauter le chiffrement des données, permettant potentiellement à des hackers de les intercepter.

Données bancaires non protégées

Normalement, un site précédé de «https» utilise un système pour sécuriser les échanges entre le serveur et le client. Sauf que Superfish émettait son propre certificat qui se substituait à l'original, laissant la porte ouverte à une «attaque de l'homme du milieu» («man in the middle attack»), rapporte Ars Technica. L'ingénieur de Google Chris Palmer a notamment réussi à intercepter les données échangées avec le site de Bank of America.

Que faire si vous avez acheté un PC sur cette période? Un site a été mis en place pour déterminer si vous êtes infecté. Mais Lenovo précise que ses serveurs ont été mis hors-service, ce qui doit «désactiver le logiciel» sur toutes les machines concernées. Par mesure de sécurité, il est possible de le retirer à la main. Il faut:

• exécuter la commande (touche WINDOWS + R) «certmgr.msc» (sans les guillemets)
• cliquer sur le second dossier des «certifications root de confiance»
• cliquer sur le dossier «certificats»
• effacer l'entrée «Superfish».