HP propose une mise à jour pour ses portables un peu trop indiscrets

La boulette. HP a oublié employé un pilote de travail contenant un outil logiciel permettant d’enregistrer tout ce qui est pianoté sur toute une série de portables commerciaux.

Un chercheur en sécurité indépendant a en effet découvert que différents portables HP embarquaient ce petit bout de code bien gênant. Michael Myng cherchait un moyen de modifier le rétro éclairage de son clavier en “visitant” le code de son pilote Synaptics quand il est tombé sur une fonction permettant l’enregistrement de la frappe des touches du clavier… Il a immédiatement contacté HP pour leur signaler. La marque a tout de suite reconnu le problème et révélé l’ampleur de ce dernier : Plus de 460 modèles différents contenaient ce “bug”. Des HP Pavilion, des EliteBook, des Envy, et Spectre. Une partie des machines à destination professionnelles ProBook est également concernée tout comme des portables de la série Gaming Omen.

HP Spectre 13 X360 2017

Evidemment, il ne s’agit pas d’un Keylogger au sens classique du terme, HP ne cherche pas à savoir ce que des centaines de milliers de personnes pianotent chaque jour. Il s’agit en fait d’un outil intégré dans un pilote de pavé tactile de la marque Synaptic commun à de nombreuses marques. Ce pilote de travail permet d’enregistrer les frappes des utilisateurs mais cette option, qui sert à débugguer les machines lors de leur conception, est désactivé par défaut. Il semblerait que le pilote de travail, commun et compatible avec de nombreux modèles de pavés tactiles, ait été utilisé pour les machines commerciales. Les différentes versions de Windows installées par HP sur ses portables ont donc puisé dans cette même souche de pilote “contaminée” et des milliers de machines ont donc été livrées en l’état.

L’option n’est pas active par défaut, les machines n’enregistrent donc pas les frappes des utilisateurs. Mais le fait que le pilote le permette en activant juste une fonction pourrait mettre en appétit certains pirates. En développant un bout de code capable de modifier légèrement le pilote déjà installé puis en récupérant les données enregistrées, il serait possible de récuperer des informations dangereuses : Les mots de passe de compte Paypal, bancaire ou de réseaux sociaux notamment.

HP a donc publié une mise à jour a installer pour éviter ce problème.

Synaptics Securepad

Si vous avez lu ce billet tranquillement, bien calé dans votre siège, en vous réjouissant d’avoir acheté autre chose qu’un portable HP. C’est peut être la moins bonne nouvelle de la journée. Si HP a identifié et résolu le problème, le pilotes fautif a été distribué par Synaptics et reste utilisé aujourd’hui sur des milliers de références. Il peut potentiellement poser un problème à toutes les machines sous Windows qui emploient un dispositif de saisie Synaptics, quelle que soit la marque.

Pour vérifier si votre machine sous Windows emploie un pilote Synaptics, c’est très facile : Appuyez sur Windows + Pause. Puis vérifiez dans Gestionnaire de périphériques si votre périphérique de saisie est un Synaptics. Si c’est le cas, vous pouvez toujours tenter de supprimer le pilote et de le remplacer par une mise à jour. Ou de contacter votre fabricant.

19 commentaires sur ce sujet.
  • gUI
    12 décembre 2017 - 15 h 42 min

    Pour avoir travaillé dans la conception et la réalisation de produits grands public, c’est en enfer de conciclier les besoins d’ingénierie et les contraintes d’un produit final.

    Répondre
  • 12 décembre 2017 - 16 h 21 min

    le pilote audio keylogger c’était pas chez HP aussi? ça commence à faire beaucoup pour n’être qu’une simple coïncidence

    Répondre
  • 12 décembre 2017 - 16 h 59 min

    C’est quand même grave car ca concerne des laptops HP jusqu’à 5 ans en arrière au vue de la liste des modèles dans le lien fourni.

    Répondre
  • 12 décembre 2017 - 17 h 10 min

    ça pue quand même ces produits informatiques qui nous écoutent, nous regardent et lisent nos frappes pour envoyer tout ça chez les gafam et autres constructeurs, ce qu’ils récupèrent est à leur entière discrétion

    Répondre
  • 12 décembre 2017 - 17 h 22 min

    @H2L29: d’où l’intérêt des OS (et hardwares) opensource.

    Répondre
  • 12 décembre 2017 - 17 h 38 min

    @Dimitri: yep mais du hardware réellement opensource ça cours pas les rues, en dehors de certains microcontrolers comme atmega j’vois pas

    tout ce qui est affichage et communication radio pareil closedsource partout

    Répondre
  • 12 décembre 2017 - 17 h 52 min

    Vu que ça concerne les drivers synaptics, j’imagine que les tablettes HP sous Windows ne sont pas concernées ?

    Répondre
  • 12 décembre 2017 - 17 h 55 min

    @H2L29: Il y a des initiatives : genre des laptop thinkpad dont le bios est modifié et opensource + cartes wifi “open” mais ce n’est qu’une goutte d’eau et c’est très cher car travail essentiellement manuel. Il y a des progrès à faire… pour cela il faut une réelle prise de conscience. Là où cet article aurait indigné l’opinion publique en 1999, aujourd’hui cela nous fait à peine sourciller… c’est surtout là le problème. Combien a t’on vu cette année d’articles sur du hardware (smartphones par exemple) qui viole notre vie privée ? Tellement… et personne ne fait rien.

    Répondre
  • 12 décembre 2017 - 18 h 08 min

    @Dimitri: c’est pas moi qui ira te contredire.

    j’ai fait l’aquisition d’un thinkpad x230t mais pas de coreboot dessus, faudrai que je regarde si c’est possible mais j’en doute

    Répondre
  • Xo7
    12 décembre 2017 - 18 h 45 min

    @Dimitri: Pire, la jeune génération trouve cela normal et même sécurisant !

    Répondre
  • 13 décembre 2017 - 11 h 14 min

    @H2L29: et ce keylogger synaptic c’est rien à côté de ce que Intel a planqué dans ses processeurs : Intel a planqué un système Minix qui a le contrôle TOTAL et INVISIBLE sur toute la machine! Fait une recherche sur Minix, Tanenbaum et Intel…
    @Fred: tu ne relais pas l’information ???

    Répondre
  • 13 décembre 2017 - 17 h 29 min

    @Dimitri:
    Mais pas sur du Intel pétri de firmwares au comportement douteux, avec en premier lieu le management-engine… mais pas que!

    Répondre
  • 14 décembre 2017 - 13 h 55 min

    Bonjour à tous, sur linux, existe-il un logiciel anti-keylogger (open-source) svp ? Merci !

    Répondre
  • 14 décembre 2017 - 14 h 12 min

    Il existe un clavier externe, le Silent Keys, qui a fait une campagne de crowdfunding avec succès, qui protège des keyloggers logiciels et matériels

    Répondre
  • 14 décembre 2017 - 20 h 22 min

    @aiRVB: tu parles de MEI ? oué j’ai vu c’est moche :(

    mais c’est pour notre sécurité à tous qu’on vous dit ! (lol)

    Répondre
  • a
    14 décembre 2017 - 22 h 52 min

    Concrètement, on retrouverait ces puces dans des produits type Nvidia Shield ? Merci [email protected]Ardèche libre[.org]: Merci ! j’ai jeté un oeil sur Silentkeys mais le projet a l’air bloqué par des problèmes de prod (1 an et demi quand même !!!), apparemment, la pré-prod commencerait d’ici 45 jours. Mais bon, je suis pas sûr de vouloir leur faire confiance vu l’historique.

    Sur Windows, y a quelques softs anti-keyloggers, dommage que j’en ai pas trouvé pour Linux.

    Répondre
  • 14 décembre 2017 - 23 h 07 min

    Désolé, ça a copier-coller un message du billet Nvidia shield ^^ Le véritable message est donc :

    @Ardèche libre[.org]: Merci ! j’ai jeté un oeil sur Silentkeys mais le projet a l’air bloqué par des problèmes de prod (1 an et demi et toujours en phase proto quand même !!!), apparemment, la pré-prod commencerait d’ici 45 jours, si j’ai bien compris. Mais bon, je suis pas sûr de vouloir leur faire confiance vu l’historique.

    Sur Windows, y a quelques softs anti-keyloggers, dommage que j’en ai pas trouvé pour Linux.

    Répondre
  • PJL
    15 décembre 2017 - 20 h 34 min

    Décidément, je n’ai pas de chance avec les drivers HP pour touchpad.
    Je suis concerné avec mon portable pro et pas moyen de télécharger le driver.
    Ca bloque vers 9Mo.
    Et j’ai l’impression que les drivers sont mal foutus.
    Avec le driver actuel, dès que je branche une télécommande PowerPoint, ça bloque le touch pad alors qu’avec la version de Juin, ça marchait impec.

    Répondre
  • PJL
    5 janvier 2018 - 12 h 56 min

    5 janvier et toujours impossible de télécharger ce fichu driver !!!!!!!!!

    Répondre
  • LAISSER UN COMMENTAIRE

    *

    *