Lenovo ha instalado software sin permiso del usuario en instalaciones limpias de Windows

A principios de este año saltó la polémica con Lenovo y Superfish: la compañía china se había excedido con las medidas y cantidad de bloatware en sus portátiles así como las prácticas que realizaba para instalarlos. Reaccionaron, pero no han atado todos los cabos tal y como demuestra un descubrimiento reciente.

Varios usuarios (aquí también) de Internet han observado cómo en algunos portátiles de Lenovo se instalaba software sin que ellos se dieran cuenta. El problema viene en que se estaban realizando instalaciones limpias de Windows y por mucho que formateaban y reinstalaban había una serie de aplicaciones y procesos que seguían ahí siempre. El problema es bastante grave aunque poco peligroso para el usuario.

Bloatware en instalaciones limpias de Windows

En cada instalación de Windows, los usuarios observaron que el sistema sobrescribía una serie de archivos del sistema que permitían descargar posteriormente un programa de actualizaciones de Lenovo y una serie de aplicaciones para "mejorar" el rendimiento del portátil. El problema estaba en que la instalación se hacía limpia, es decir, con un DVD de Windows que nada tiene que ver con la versión que ofrece el fabricante.

No solo eso, además de permitir instalar software sin permiso del usuario, el software hacía una llamada a los servidores de Lenovo (a esta dirección en concreto) para, según la compañía, "ayudarles a entender cómo los clientes usan nuestros productos". Matizan, además, que no se recaba "información personal y genuina".

El proceso es bastante ingenioso ya que la BIOS del portátil es capaz de comprobar si "C:\Windows\system32\autochk.exe" es un archivo de Microsoft o no. Si es del primer tipo, lo sobreescribe por uno modificado por Lenovo y así poder instalar todo lo que necesita. Muy sutil ya que se ejecuta en un momento donde el sistema puede hacer modificaciones y ejecutar algunas acciones pero a la vez todo lo hace lo suficientemente pronto como para evitar ser detectado por el sistema de seguridad de Windows o cualquier otra herramienta que utilicemos.

Cuando autochk está modificado, es entonces cuando se inicia y crea dos archivos nuevos: "LenovoUpdate.exe" y "LenovoCheck.exe" encargados de descargar actualizaciones y la aplicación One Key Optimizer encargada de, explica Lenovo, "mejorar el rendimiento del ordenador actualizando el firmware, drivers y aplicaciones preinstaladas así como escanear archivos basura y encontrar factores que afecten al rendimiento del sistema".

Lenovo ha reaccionado y ha publicado un parche para actualizar los portátiles afectados por lo que el fabricante ha denominado como vulnerabilidad. Un mal movimiento por su parte pero no han estado solos y es que, como explican algunos usuarios, Microsoft tiene parte de culpa ya que ellos dejan el hueco para poder realizar estar modificación.

Microsoft conocía el problema pero no lo resolvió del todo

En noviembre de 2011, Redmond publicó un documento llamado "Windows Plattform Binary Table". Un documento al que hace mención un ingeniero de Lenovo que preguntó en su día cómo trabajar con tablas ACPI en ordenadores portátiles. A partir de ahí se descubrió un fallo que permitía instalar "software crítico" y a raíz de ello se modificó el documento que mencionábamos para recoger este caso.

El problema es que con editar el documento no era suficiente ya que seguía siendo tan laxo que los fabricantes de ordenadores no estaban obligados a avisar a los usuarios de que esto ocurría. Microsoft no hizo por cubrirlo y Lenovo aprovechó la situación para hacer lo que hoy os explicamos.

¿Qué equipos están afectados y debemos actualizar? Por un lado, los siguientes modelos de portátil: Flex 2 Pro 15 (Broadwell), Flex 2 Pro 15 (Haswell), Flex 3 1120, Flex 3 1470/1570, G40-80/G50-80/G50-80 Touch, S41-70/U41-70, S435/M40-35, V3000, Y40-80, Yoga 3 11, Yoga 3 14, Z41-70/Z51-70, Z70-80/G70-80.

En ordenadores de escritorio, tenemos los siguientes: A540/A740 B4030, B5030, B5035, B750, H3000, H3050, H5000, H5050, H5055, Horizon 2 27, Horizon 2e(Yoga Home 500), Horizon 2S, C260, C2005, C2030, C4005, C4030, C5030, X310(A78), X315(B85).

Con Superfish Lenovo demostró que hizo las cosas mal con la gestión del bloatware y la información que daba a los usuarios pero con este problema abre una cuestión más inquietante: no importa que hagamos una instalación limpia de Windows, las compañías tienen formas (y lo hacen) para seguir instalando aplicaciones y enviando información a sus servidores sin nuestro consentimiento.