Lenovo ha preinstallato in alcuni modelli (foto di un Lenovo Yoga 3 11 ©Pierre Lecourt) dei suoi PC un’utility chiamata Lenovo Service Engine (LSE) che invia ai suoi server alcune informazioni alla prima connessione a Internet, secondo l’azienda in maniera anonima. LSE scarica automaticamente un’altra utility, OneKey Optimizer (OKO), che dovrebbe ottimizzare il sistema operativo tramite alcune operazioni. È emerso che LSE utilizza una tecnica che ne permette la reinstallazione automatica anche quando tutto il sistema operativo viene reinstallato da zero e che ciò può comportare problemi di sicurezza.

Lenovo era già finita nella bufera nel febbraio 2015 quando era stato scoperto che l’adware Superfish veniva preinstallato su alcuni modelli di PC dell’azienda e ciò ne comprometteva pesantemente la sicurezza. Evidentemente non era l’unico programma potenzialmente pericoloso che gli acquirenti si trovavano ma l’attenzione di qualcuno è ora maggiore. Infatti, alcune segnalazioni hanno permesso di scoprire che in vari modelli di PC desktop e notebook venduti tra l’ottobre 2014 e l’aprile 2015 con varie versioni di Windows c’è LSE, un software persistente e pericoloso.

LSE utilizza una funzionalità chiamata Windows Platform Binary Table (WPBT) che ha lo scopo di inserire programmi nel BIOS del PC, quindi a un livello in cui sono invisibili al sistema operativo. Il suo scopo è quello di permettere di effettuare alcuni test diagnostici e far girare un software antifurto.

LSE va ben oltre perché verifica che gli strumenti di aggiornamento di Lenovo siano ancora installati sul PC e in caso contrario li reinstalla. Fin qui nulla di male ma a essere aggiornati ed eventualmente reinstallati sono anche altri programmi e si tratta dei famigerati bloatware o crapware.

Quando la presenza di LSE è stata scoperta, un’analisi effettuata da un esperto di sicurezza ha rilevato una vulnerabilità in esso e in OKO. Essa può essere sfruttata per un attacco pirata che potrebbe permettere perfino di prendere il controllo remoto di un PC Lenovo. Insomma, LSE può essere considerato un rootkit.

Quando quella vulnerabilità è stata scoperta, Microsoft ha aggiornato le linee guida riguardanti la sicurezza nell’implementazione della WPBT. LSE non rispetta le nuove linee guida perciò Lenovo non lo preinstalla più e ha rilasciato un aggiornamento del BIOS che lo disabilita o rimuove. Chi possiede uno dei modelli inclusi nella lista, può scaricare l’utility per disabilitare SLE nella versione per laptop o per desktop.

Questa storia rappresenta un altro colpo per l’immagine di Lenovo dopo il caso Superfish. Stavolta c’erano forse buone intenzioni da parte dell’azienda ma la gestione di LSE è stata come minimo superficiale con il risultato di creare potenziali problemi di sicurezza ai suoi clienti. Speriamo che sia l’ultima volta che succede una cosa del genere ma temo di no.