В компьютерах Lenovo нашли очередную уязвимость, причиной которой является предустановленное компанией программное обеспечение. На сей раз речь идёт о BIOS и функции, которая даёт возможность автоматически скачивать на устройство приложения и сервисы Lenovo даже при чистой установке операционной системы Windows.
Начиная с Windows 8, клиентские ОС Microsoft предоставляют изготовителям ПК возможность размещения исполняемого файла в BIOS с целью его последующего копирования в файловую систему установленной ОС. Эта мера нацелена на борьбу с кражей устройств. Более-менее сообразительные воры форматируют диск, полностью удаляя операционную систему. Но это не поможет, если в BIOS помещена программа, которая восстановится после форматирования и, в зависимости от реализации, сможет сообщить о местоположении ПК или стереть все содержимое, препятствуя использованию украденного компьютера.
Однако реализация Lenovo под названием Lenovo Service Engine оставляет брешь в системе безопасности, которую в апреле-мае обнаружил независимый исследователь. Компания использовала технологию не по назначению, внедрив утилиту для сбора сведений о ПК, а также оптимизаторы системы сомнительного качества .
В ответ на это открытие Microsoft выпустила руководство по безопасности для работы с БИОС под названием Windows Platform Binary Table. Lenovo Service Engine не отвечает требованиям этого руководства, поэтому в выпускаемых после июня компьютерах Lenovo этот инструмент убран. Также китайский производитель выпустил инструмент для отключения Lenovo Service Engine и 31 июля выпустил убирающее его обновление БИОС. Всего затронуто несколько десятков моделей ПК и ноутбуков.
Вполне возможно, что похожими средствами пользуются и другие производители, однако к Lenovo приковано повышенное внимание после обнаружения в январе программы Superfish, внедряющей рекламу в браузеры пользователей. Она открывала перед хакерами дверь для доступа к банковским данным и другой приватной информации. Lenovo Service Engine, помимо обновления драйверов, прошивки и приложений, собирает данные о методах работы пользователей с устройствами.