中国レノボの悪質プリインストールソフト「Superfish」問題。レノボは自動削除ツールの配布を開始。

レノボは、2014年9月から同社のコンシューマー向けノートPCの一部にプリインストールしていた“Superfish”というサードパーティー製のソフトの問題に対して改めて見解を示し、自動削除ツールの提供を開始した。また、McAfeeやMicrosoftと連携し、Superfishソフトウェアおよび証明書の隔離と削除を進めているという。Superfishソフトウェアについては、Lenovo製品へのプリインストールを2015年1月時点で中止し、Superfishソフトウェアとサーバー側の通信を遮断している。

スポンサーリンク

スポンサーリンク

CNET Update – Lenovo poisoned its own PCs with Superfish adware

（週アスPLUS）レノボのSuperfish問題が決着か 自動削除ツールの提供を開始

レノボは、2014年9月から同社のコンシューマー向けノートPCの一部にプリインストールしていた“Superfish”というサードパーティー製のソフトの問題に対して改めて見解を示し、自動削除ツールの提供を開始した。

Superfishは本来、オンラインショッピングの際に、ユーザーが興味がある製品を見つけるソフトだったのだが、レノボによれば“ローカルの信頼されたCAストアに自己署名証明書をインストールするなどの脆弱性”があるとのこと。そして、“Superfishは自己署名証明書を用いてHTTP(S)通信を傍受します。この自己署名証明書はローカルのルート証明書ストアに保管されて、セキュリティ上の懸念点になります。”とレノボは説明している。

　今年1月の時点でSuperfishのプリインストールは停止しており、Superfishを有効化するサーバー接続も同月で停止しているという。なお、該当のモデル（日本未発売モデルを含む）は以下で、ThinkPadノートブックPCや、レノボのデスクトップPCならびにスマートフォンには一切プリインストールしていないとしている。

●Eシリーズ：E10-30
●Flex シリーズ：Flex2 14、Flex2 15、Flex2 14D、Flex2 15D、Flex2 14 (BTM), Flex2 15 (BTM)、Flex 10　●Gシリーズ：G410、G510、G40-70、G40-30、G40-45、G50-70、G50-30、G50-45
●Mシリーズ：Miix2 – 8、Miix2 – 10、Miix2 – 11
●Sシリーズ：S310、S410、S415; S415 Touch、S20-30、S20-30 Touch、S40-70
●Uシリーズ：U330P、U430P、U330Touch、U430Touch、U540Touch
●Yシリーズ：Y430P、Y40-70、Y50-70
●Yoga シリーズ：Yoga2-11BTM、Yoga2-11HSW、Yoga2-13、Yoga2Pro-13
●Zシリーズ：Z40-70、Z40-75、Z50-70、Z50-75

引用元-−-週アスPLUS

（CNET Japan）レノボ、悪質「Superfish」の自動削除ツール公開–対応にMcAfeeとMicrosoftと連携

Lenovoは2月21日、コンシューマー向けノートブックPCの一部に搭載した大きな問題のあるソフトウェア「Superfish」の自動削除ツールを公開した。

　Superfishは、ウェブサイトを表示したときにユーザーの意思とは関係なくHTMLを書き換えてJavaScriptを挿入することで広告を表示させるアドウェアのような振る舞いをするソフトウェアだが、その仕組みに大きな問題がある。

　インターネットで安全な通信をする場合には、SSL/TLSプロトコルを用いたHTTPS通信を使い、サーバの認証や通信内容の暗号化、改竄の検出などをし、これによってなりすましや盗聴などの攻撃を防ぐ。仕組みとしては、ウェブブラウザ（PCなどの端末）がウェブサーバにHTTPS通信でアクセスを開始すると、サーバが「SSL証明書」をPCに送信し、PCはそのSSL証明書が信頼のある第三者機関の正しい「認証局」から発行されたか、現在通信しているサーバがそのSSL証明書に記載されているサーバと一致しているかなどを照合（PCに保存された「ルート証明書」と照合）し、正しければ通信が確立される。

　Superfishは、サーバがSSL証明書をPCに送信する際に正式ではない自己署名SSL証明書を送信する。通常であれば、偽造された証明書なのでPC側で照合して安全ではない通信だと判断されるが、SuperfishのソフトウェアがPCに搭載されていればこの照合時に「正しい認証局から発行された証明書」と判断してしまう。つまり、Superfishが利用されると、安全な通信が確立できなくなる。

　この問題を認識し対応開始したLenovoは2月20日に声明を発表すると共に、手動で削除する方法を公開したが、2月21日には自動でソフトウェアとルート証明書をPCから削除するツールを公開した。Superfishのソフトウェア自体は一般のソフトウェアと同様にアンインストールできるが、PCに保存された証明書の削除もしなければならないので、このツールを使ったほうがいいだろう。

　さらにLenovoは、「McAfeeとMicrosoftの2社と連係し、それぞれが提供するツールとテクノロジーを使ってSuperfishソフトウェアと証明書を隔離、削除しようとしている」とした。今回の問題に気づいていないユーザーも多くいると予想されるため、おそらくWindows Updateなどを通じて展開されるということだろう。

引用元-−-CNET Japan

（マイナビニュース）Lenovo、PC製品から「Superfish」を自動削除するツールを公開

Lenovoは21日(日本時間)、同社のコンシューマ向けPC製品にSuperfishソフトウェアがプリインストールされていた問題に関連して、Superfishソフトウェアを自動削除するツールを公開した。公開時点では英語のWebページだが、翻訳が完了しだい日本語に切り替わる見込み。

Superfishソフトウェアを自動削除するツール
http://support.lenovo.com/us/en/product_security/superfish_uninstall

同時に、公式の見解を更新。McAfeeやMicrosoftと連携し、Superfishソフトウェアおよび証明書の隔離と削除を進めているという。Superfishソフトウェアについては、Lenovo製品へのプリインストールを2015年1月時点で中止し、Superfishソフトウェアとサーバー側の通信を遮断している。

引用元-−-マイナビニュース

（Lenovo公式HP）SUPERFISHに関するレノボからのお知らせ（更新）

昨日ご案内させていただいたように、レノボは、Superfish に関わるユーザーの皆様の不安を解消するために、あらゆる措置を講じようと模索しています。そして本日は、以下に示す2つのアクションを取らせていただきます。

1）現在オンラインで提供している、システムから該当ソフトウェアを、手動で削除する方法に加えて、ソフトウェアと証明書を削除する作業を自動化するツールをリリースしました。このツールは以下で入手できます。
Superfishのアンインストール方法

2） 私たちは McAfee および Microsoft の2社と連係し、それぞれが提供する業界屈指のツールとテクノロジーを使って Superfish ソフトウェアおよび証明書を隔離・削除しようとしています。このアクションはすでに開始しており、このアクションにより、現時点で問題を認識していないお客様についても自動的に脆弱性が解消されます。

ユーザーの皆様から寄せられた使い勝手に関するご指摘を受け、私たちは1月時点で Superfish のプリインストールを取りやめ、サーバー接続もシャットダウンしています。しかしながら、セキュリティ面での潜在的な脆弱性については昨日まで認識しておらず、この点について深くお詫びいたします。私たちは現在、この問題の収束に向けて全力で取り組んでいます。

この問題の発生以来、私たちはその時点で得られている情報に基づき、可能なかぎり迅速かつ断固とした態度でアクションを取ってまいりました。この問題が ThinkPad 製品、ならびにタブレット、デスクトップ、スマートフォン、およびサーバーやストレージ装置などのエンタープライズ製品に及ぼす影響はございませんが、私たちは本件については、レノボ製品をお使いのすべてのお客様に対してお伝えする必要があると認識しています。いかなる理由であろうと、ユーザーの皆様に対して懸念や不安を抱かせてしまったことについて、お詫びさせていただきます。私たちは経験から学びながら、何をすべきか、どのように対処すべきか、について改善を続けています。私たちは引き続き、当該ソフトウェアと懸案の根底となっている脆弱な証明書の削除を容易にする作業を進めています。これにより弊社製品がお客様のご期待を裏切らず、引き続き信頼を以てお使いいただけるものとなるよう取り組んでおります。

エイリアス番号:
文書番号: HT102635
最終更新日 :21 Feb 2015
(c) 2014 Lenovo

引用元-−-Lenovo公式HP

（NHK）レノボ 欠陥あるソフト削除する別のソフト公開

中国のパソコンメーカー「レノボ・グループ」が販売していたパソコンの中に、閲覧したホームページの情報を外部に送って分析するソフトウエアを入れていた問題で、このソフトが入ったパソコンを使うと、ネットバンキングの暗証番号などが盗み見られるおそれがあることが分かりました。
レノボはホームページで謝罪し２１日、このソフトを削除する別のソフトを公開しました。

レノボは、去年９月から１２月までに世界中で販売した４０余りの機種のパソコンに、閲覧したホームページの情報を別の企業のサーバーに送って自動分析し、それに応じた広告を表示するソフトを入れていました。
利用者からの批判を受けるなどしたため、レノボは１月にこの機能を使えないようにしましたが、情報セキュリティーの専門家などが分析したところ、このソフトがパソコンの中に入っていると、ネットバンキングの暗証番号やクレジットカードの情報などが第三者に盗み見られるおそれがあることが分かりました。
ソフトをパソコンから完全に削除するには手作業による複雑な操作が必要でしたが、レノボは簡単な操作でソフトを削除する別のソフトを２１日に公開しました。
レノボはホームページで、「きのうまで、このソフトにセキュリティー上の欠陥があることを知らず深くおわびします。問題の収束に向けて、全力で取り組みたい」としています。

引用元-−-NHK

twitterの反応

レノボのパソコン使ってる人のことをSuperfishって呼びます。よろぴく

— やぷらす (@yaplus) February 22, 2015

やー。Lenovoの「Those who DO.」ってキャッチコピー好きだったんだよなあ、アップルみてーな見た目が9割の連中とは違うぜ、みたいな。で、DoはDoでもそういうことするんだなあって。もうアカンわ。 / “レノボ、危険ア…” http://t.co/FauUMY6Jvk

— ozero dien (@ozero) February 22, 2015

レノボのオープンソース活動第一弾がSuperfFish削除ツールなのか。 https://t.co/T46jEhonTe

— トデス子' (@todesking) February 22, 2015

レノボのsuperfish削除ツール、なぜかMPLでGitHubに公開されている https://t.co/CcawKmDr56

— トデス子' (@todesking) February 22, 2015

“Lenovo製PCに入っている極悪アドウェア「Superfish」はどれだけヤバイのか？ – GIGAZINE” http://t.co/kHPKf1j5uR

— べす (@bethbeth321) February 20, 2015