Программа Superfish, которая поставляется с ноутбуками Lenovo Y50, Z40, Z50, G50 и Yoga 2 Pro, представляет из себя типичный Malware, который прослушивает трафик, анализирует поисковые запросы пользователя и вставляет рекламу на страницы сторонних сайтов. Работает это приложение на уровне системы, перехватывая, в том числе, HTTPS-трафик. Для этого, приложение устанавливает CA-сертификат Superfish в хранилище ключей Windows и проксирует весь трафик между хостом и браузером, подменяя сертификат на свой. Поставляется это ПО, как минимум, с июня 2014 года. Первое сообщение об этой программе на форуме Lenovo датировано сентябрем 2014 года.
![image](https://habrastorage.org/r/w780q1/getpro/habr/post_images/b57/14e/302/b5714e30218199ba13fcda3cd3afb693.jpg)
Эта новость сама по себе уже неприятная, но сегодня стала известна одна деталь, которая значительно увеличивает уровень опасности для обладателей этих ноутбуков: выяснилось, что внутри программы имеется не только публичный сертификат CA, но и приватный ключ к нему, в зашифрованном виде. Подобрать пароль к этому ключу не составляет никаких проблем — «komodia»:
![image](https://habrastorage.org/r/w1560/getpro/habr/post_images/562/a20/e22/562a20e22ed5ae3cbb93142552c9db60.png)
картинка из твиттера supersat
Это означает, что любой злоумышленник, имеющий возможность совершить MitM-атаку (например, в публичной Wi-Fi сети), может использовать данный сертификат для проксирования HTTPS-трафика через свой компьютер и расшифровывать его незаметно для жертвы.
Представитель Lenovo на форуме сообщает, что они прекратили поставлять данное ПО с новыми ноутбуками с января 2015 года и отключили Superfish для всех владельцев уже купленных ноутбуков. Доступна инструкция для удаления malware, которая, однако, не включает в себя удаление корневого сертификата из хранилища.
Сервис для проверки наличия сертификата Superfish в хранилище ОС
Сертификат и приватный ключ Superfish в формате PEM
Статья в Forbes (не упоминает наличие приватного ключа)
Статья от Marc Rogers (не упоминает наличие приватного ключа)
Статья от Errata Security
Как получили приватный ключ и пароль
Информация на сайте EFF
Windows Defender детектирует Superfish
![image](https://habrastorage.org/getpro/habr/post_images/b57/14e/302/b5714e30218199ba13fcda3cd3afb693.jpg)
Эта новость сама по себе уже неприятная, но сегодня стала известна одна деталь, которая значительно увеличивает уровень опасности для обладателей этих ноутбуков: выяснилось, что внутри программы имеется не только публичный сертификат CA, но и приватный ключ к нему, в зашифрованном виде. Подобрать пароль к этому ключу не составляет никаких проблем — «komodia»:
![image](https://habrastorage.org/getpro/habr/post_images/562/a20/e22/562a20e22ed5ae3cbb93142552c9db60.png)
картинка из твиттера supersat
Это означает, что любой злоумышленник, имеющий возможность совершить MitM-атаку (например, в публичной Wi-Fi сети), может использовать данный сертификат для проксирования HTTPS-трафика через свой компьютер и расшифровывать его незаметно для жертвы.
Представитель Lenovo на форуме сообщает, что они прекратили поставлять данное ПО с новыми ноутбуками с января 2015 года и отключили Superfish для всех владельцев уже купленных ноутбуков. Доступна инструкция для удаления malware, которая, однако, не включает в себя удаление корневого сертификата из хранилища.
Сервис для проверки наличия сертификата Superfish в хранилище ОС
Сертификат и приватный ключ Superfish в формате PEM
Статья в Forbes (не упоминает наличие приватного ключа)
Статья от Marc Rogers (не упоминает наличие приватного ключа)
Статья от Errata Security
Как получили приватный ключ и пароль
Информация на сайте EFF
Windows Defender детектирует Superfish