Windows-Rootkit installiert ungefragt Lenovo-Software

Lenovo hat in seinen Rechnern eine Windows-Sicherheitsfunktion eingebaut, die sich wie ein Rootkit verhält. Das Programm hat ungefragt eigene Systemsoftware installiert. Selbst wenn Nutzer das Betriebssystem mit einer Windows-DVD neuinstalliert haben, konnte Lenovo seine Software nachträglich einspielen. Laut der Website des chinesischen Computerherstellers betrifft es Geräte, die zwischen dem 23. Oktober 2014 und dem 10. April 2015 produziert wurden.

Im Mai beschwerten sich Nutzer in Internetforen über das Problem. Sie beschrieben einen Rootkit-artigen Installer mit dem Namen Lenovo Service Engine (LSE). Dieser ist Teil des BIOS und überschreibt eine wichtige Windows-System-Datei mit einer eigenen Version. Verbindet sich ein Gerät anschließend mit dem Internet, lädt es beliebige Daten herunter.

LSE installiert dann zusätzliche Programme, die unter anderem Treiber, Firmware und andere ab Werk vorhandene Apps aktualisieren. Wie das Unternehmen mitteilt, schickt die Engine auch anonyme Systemdaten an Lenovos-Server. Dazu zählen Modell, Typ, die System-UUID, Standort und Datum. Der Hersteller stuft seit Ende Juni die Service Engine selbst als Sicherheitsrisiko ein.

Lenovo warnt in einem Sicherheitsbulletin, dass Cyberkriminelle die Software ausnutzen können, um Malware einzuschleusen. Das Unternehmen hat bereits ein Sicherheitsupdate veröffentlicht, dass die Engine vollständig entfernt. Allerdings muss dieser Patch manuell installiert werden.

Die Lenovo Service Engine findet sich unter anderem auf vielen Computern der Modellreichen Yoga und Flex mit Windows 7, 8 und 8.1. Business-Rechner wie die PCs der Marke “Think” hat Lenovo nicht mit der Software ausgestattet. Eine vollständige Liste aller anfälligen Modelle hat Lenovo auf seiner Website veröffentlicht.

Während viele Hersteller ihre Computer mit Software ausliefern, die Nutzer als unnütz oder unerwünscht einstufen, stellt von Lenovo verwendete Bloat- oder Crapware nun schon zum zweiten Mal auch ein ernstes Sicherheitsrisiko dar. Im Februar 2015 war bekannt geworden, dass Lenovo über einen Zeitraum von mehreren Monaten die Adware Superfish Visual Discovery auf seinen Notebooks vorinstallierte. Sie blendete nicht nur unerwünschte Werbung ein, ein selbstsigniertes Root-Zertifikat erlaubte der Software auch, per HTTPS verschlüsselten Datenverkehr zu entschlüsseln. Da das Zertifikat des Softwareherstellers in die Liste der Systemzertifikate von Windows aufgenommen war, konnte es auch für bösartige Angriffe benutzt werden.

[mit Material von Stefan Beiersmann, ZDNet.de]