幹壞事是進步最大的原動力
在「Oracle has just given you another reason not to install Java on your Mac」這篇看到 Mac 版的 Java 居然會試著安裝 Ask Toolbar：
Oh my god，這太厲害啦～
Adware is malware with a legal team.
— InfoSec Taylor Swift (@SwiftOnSecurity) January 14, 2015
還是想貼一下這則 tweet...
感覺接下來的整個月會拿有無窮無盡的 Superfish-like 新聞，下次如果出現 NSA 或是 GCHQ 已經在用這些漏洞的話也不太意外就是了：「Adware Privdog worse than Superfish」。
PrivDog 是 Comodo 發行的 adware，比起 Superfish 更厲害，直接把 CA Certificate 的檢查關掉：
It will turn your Browser into one that just accepts every HTTPS certificate out there, whether it's been signed by a certificate authority or not.
而 Comodo 是發行 SSL certificate 的公司，很多便宜的 SSL certificate 都是由他們家發出來的... (包括我的 blog)
在「Download.com and Others Bundle Superfish-Style HTTPS Breaking Adware」這邊看到的 tweet，講的相當經典，把他找出來：
Adware is malware with a legal team.
— InfoSec Taylor Swift (@SwiftOnSecurity) January 14, 2015
文章裡面提到，Superfish 這種插入 CA root certificate 的軟體攔截 HTTPS 內容，不僅僅是 Superfish，這根本是目前免費軟體的「趨勢」，包括了十大裡面的前兩名：
Two of the top ten downloads on CNET (KMPlayer and YTD) are bundling two different types of HTTPS-hijacking adware, and in our research we found that most other freeware sites are doing the same thing.
在 Facebook 的「Windows SSL Interception Gone Wild」提到了 Facebook 自己觀察到的情況：(SSL traffic 被 Superfish 換掉的百分比，中國地區因為廣為人知的原因，是沒有偵測到的...)
另外「Beyond Superfish: Turns out SSL-trashing spyware is widespread」也提到問題的嚴重性。
甚至有些也偽裝成遊戲：「'Superfish'-style vulnerability found in games and parental control software」：
Rogers cites products including parental control software and IP-cloaking technology as containing the weakness, while Richard says Facebook discovered the certificates being issued by a number of adware vendors disguised as games or search assistants.
實際用 Google Chrome 下載 CNET 上的 KMPlayer，發現直接擋了下來：
在之後的新版則會更明顯的顯示出來：「More Protection from Unwanted Software」。
然後是訴訟的問題，在美國已經有消費者決定對聯想與 Superfish 打集體訴訟了，後續的判賠與和解可以繼續追蹤：「Lenovo hit with lawsuit over Superfish snafu」。
Update：參考「聯想與 Superfish 的法律訴訟，以及後續的發展...」。
上一篇「聯想在筆電上安裝 Adware」由於被證實每一台機器都是一樣的 CA key，所以這把 key 將可以拿來攻擊這些電腦。
各家的 Spyware/Adware/Malware 清除軟體都把 Superfish 納入了：
Looks like Redmond invoked the nuclear option on Superfish > RT @FiloSottile: GO MICROSOFT pic.twitter.com/5fpSDS9VLq
— Kenn White (@kennwhite) February 20, 2015
聯想官方的新聞稿中裡面有受到影響的機器列表：「LENOVO STATEMENT ON SUPERFISH」。
另外聯想提供了反安裝說明，除了可以用自動化程式處理外，也可以用手動刪除，第一步是先反安裝 Superfish，移除完成後要清除所有 CA root 資料，包括 Windows 系統內 (IE、Chrome、... 使用系統的 CA 資料) 以及 Firefox 的：「Superfish Uninstall Instructions」。
用自動化移除的人，建議做完以後還是手動檢查。
Update：參考「聯想與 Superfish 的法律訴訟，以及後續的發展...」。
Update：後續參考「聯想對 Superfish 的新聞稿、反安裝說明，以及影響的機器列表」。
今天的大條新聞，不少傳統媒體也都有報導：
另外「Lenovo installs adware on customer laptops and compromises ALL SSL.」這篇講得還蠻完整的。
這次的 adware 還被更歸類到 malware 就是因為他會在本機上安裝自己的 CA root，解開所有的 HTTPS traffic 並且插入廣告。而這包括了銀行網站、醫療網站、各種極度隱私的加密服務。
Is Superfish malware?
Lenovo won’t want anyone to call it that, but Superfish has been described as a piece of malware, or an adware pusher, that the Chinese firm pre-installs on consumer laptops.
在「Extracting the SuperFish certificate」這邊有告訴你方法，教你取得 SuperFish 的 protected private key & key password。不過不確定每一台機器是不是都一樣，作者把取出來的 pem 檔放在「test.pem」這邊。