[IT] Lenovo製PCのスパイウェアsuperfish疑惑確定

悪名高いLenovoの公式スパイウェア、通称"superfish"がようやく退場になったそうで。めでたい？いや、犯罪紛いのマイナスが一つ解消されただけの、マッチポンプ的な話ではあるのですけれども。

当該プログラムの名称は"Visual Discovery"で、2014年9月から2015年1月の間に製造・出荷されたLenovo製PCにプリインストールされ、Lenovoのサーバと連携してブラウザを問わずアドウェアと証明書を勝手に導入しポップアップ広告等を表示させる、のみならず、それ自体に有するSSL周りの脆弱性によってホットスポット等で攻撃者にPCを乗っ取られすらもする、よくもここまでと呆れる程に有害なソフトです。まあ、LenovoやHTCやら、中国系メーカーの製品については、この手の話は今に始まった話でなし、というかもはや常識となった感もあるし、むしろLenovoらしいと言えなくもないんでしょうけど。。。そもそもユーザの受け取り方によっては普通に犯罪とも言えるわけで、いい加減報いを受けて欲しいところですが、無理ですかね。

Lenovo曰く、既に当該アプリのプリインストールは取りやめ、サーバの運用も停止済との事ですが、脆弱性もありますから、未対応の場合は早急にアンインストール等対処しておくべきかと思われます。 手順は簡単。その詳細は色んな所でまとめられていますからここには載せませんが、プログラム一覧からアンインストールして、各ブラウザからアドオンを消して、証明書もあれば削除しておくだけです。

本件、日本では2014年の11月から12月頃にThinkpadの一部機種について処分セールをやっていた事もあって、直撃したユーザは国内でも結構な数に上るんじゃないでしょうか。実を言うと私も一台予備用に購入していて、多分該当していた筈なのです。多分、と不確かなのは、セットアップの際に不要なもしくは見覚えのないサード製プリインストールアプリはまとめて全部削除してしまっていたので、個別のプログラム名はよく覚えていないからなのです。そんなの消した気もするな、という位。作業前に作ったバックアップを復元すればわかるんでしょうけれども、一々確認のためだけに戻す気もしませんしね。ともあれ、怪しきは削除、が正解だったという事が改めて証明されたわけで、一安心するとともに悪くない気分なのです。

ちなみに、KingsoftとかNortonとかも当然即削除してしまっていました。secure bootもgrubを邪魔していたので無効にしたり。というか、残したのはタッチパッド制御と電源管理、あと保証関連位です。本音を言うとその辺も全て、特にPM周りはバックドア疑惑が絶えない事もあって消したかったんですけど、操作や今後の運用にも支障が出かねないので渋々残したのです。

まあLenovoだしChinaだし、という事で、バックドア位はデフォと想定して、自衛のためにその程度はやっておいて当然、でなければ中国企業の製品に手を出してはいけない、といった認識と理解が必要という事でしょう。つくづく今更な話ですけれども。やれやれです。

 How to remove Superfish adware from your laptop

（追記）

その後公開された対象製品リスト（下記リンク）によれば、Thinkpadシリーズは対象外との事。であれば私個人については取り越し苦労ということになります。しかし、国内で定番のGシリーズが含まれてる時点で被害者が膨大な点に変わりはないわけで、被害に遭われた方はご愁傷さま。

Superfish Vulnerability

[IT] 広告拒否アドオンAdblock Plusに大手サイト各社が有償で回避登録

ここ数年で広告拒否アドオンの定番になった感のあるAdblock Plusについて、GoogleやAmazon、Microsoftといった大手サイトが、額は不明ですが金銭を支払って自サイトをwhitelistに登録する事で回避させる契約を結び、ユーザの意思に反して広告を表示させていた、とかいう報道がなされているようです。

Amazon, Google and Microsoft escape Adblock Plus, for a price

そういう噂は、Googleについては昔からありました。実際、デフォルトに設定されているフィルタリストのEasyListではwhitelistにGoogleとかFacebookとかを含めて多数のサイトが登録されていて、その登録の基準というか指定の理由については謎でしたからそういう心配もあって当然だったわけですが、報道が真実なら、その疑惑が本当だったという事になります。極めて遺憾な話です。

感情はさておき。そういう事情であれば、以前からwhitelistは気に入らなかったものの、サイト閲覧自体への支障等を懸念して有効なままにしていたところ、そもそもwhitelist自体がそういう恣意的な理由で設定されているというのなら、ユーザが利用する上での悪影響への懸念は無用だろう結論になりますから、これで心置きなく除去する事が出来ます。というわけで、whitelistを全部無効にして、GoogleだろうがMicrosoftだろうが、自前で追加したad.*だとかのフィルタと合せて、原則通りad関連の要素は全て弾くように設定してしまいました。なお、[控えめな広告]については元々インストール直後に無効にしていたのでそのまま。というわけでこれですっきり。

その手順は、と一々書くほどのものでもないのですが、一部ちょっと紛らわしい点もあるので一応。と言っても、当該whitelist内要素の各チェックを外すだけなのです。

Firefoxの場合は、Adblock Plusの[フィルタ設定]ダイアログを開いて、[購読しているフィルタ]タブ中で購読しているフィルタをそれぞれ選択し、表示されるフィルタリスト中の"@@"で始まる例外指定要素（Firefoxなら、リストの後半（下）部。有効な要素は緑色表示）のチェックを外します。

なお、バージョンによっては各購読フィルタの内容リストはデフォルトだと下図のように非表示になっている場合もあるようなので、その場合には畳まれて右端に寄っているスライダをダブルクリックなりドラッグなりして表示させる必要があります。（これはfirefox@win8.1のケース）

表示されるリスト中、"@@"で始まるもののチェックを外して無効にします。が、これが下の方に固まっていて見つかりにくくなっています。わざとなんでしょうか。原則の次に例外を置く事自体は別におかしくもないんですけど、隠されてる感ありありでどうも嫌な感じです。

なおこの時、例えばデフォルトのEasyListだと、whitelistの要素は結構な数があって、一つずつチェックを外すのもとても手間でうんざりします。そこでshiftキーを押しながら両端選択で複数一括選択して[space]キーをすれば一括でチェックを外せるのですが、これが結構時間がかかるようで、一気に全要素をやってしまうと分単位で応答しなくなって、とても不安にさせられます。なので、数十個ずつ位に分けてやる方が安全でしょう。それでも結構時間がかかるのですけれども。嫌がらせかと思うような仕様ですが、滅多にやる作業でもないだろうし仕方ないと受け入れるよりない感じでしょうか。ともあれそうやっておそらく数千にもなる例外設定を無効に。とりあえず使ってみた感じでは特段の問題も感じません。という事でこれでOK。

しかし、広告を拒否するためにアドオンを入れたと思ったら実はブロックされていなかった、それも開発元の故意によるもので、さらにその理由は単に広告主からの金銭提供だった、というのは、やはりユーザからすれば裏切りには違いないわけで、個人的にも到底許しがたい話なのであります。Adblock Plusは当然ながら無料アドオンですから、開発元として収益を得るにはユーザ以外から、となるとこういう手法は当然思いつくだろうし、広告主も話を持ちかけるだろうのは無理からぬところなのでしょう。けれども、広告の除去を主目的とするアドオンという事で、それを目的にユーザは導入するのですから、そのユーザの承諾なしに広告を通す設定を混ぜ込む、というのは、完全にユーザを騙すものなわけで、ツールとしての自殺行為というか、それだけはやってはいけない類の話でしょう。広告主側に対するマッチポンプにもなるわけですし。

とはいえ、手動で外せる（ように見える）だけまだマシと言うべきなんでしょうけれども。これで内部的に別途whitelistが仕込まれていた、とか言うのなら、、、その時は流石にアドオン自体に見切りを付けざるを得なくなるわけなのですが、それはそれで面倒だし、まさかそんな事はない、と願いたいものです。以前blocksiteから乗り換えた時も結構な手間でしたから。やれやれです、とため息を吐きつつ。

[過去記事 [IT] フィルタアドオンのBlocksiteが履歴収集]