Les moniteurs LG installent des logiciels via Windows Update sans consentement de l’utilisateur

 (videocardz.com)
3 points par GN⁺ 1 일 전 | 4 commentaires | Partager sur WhatsApp
  • Lorsque certains moniteurs LG sont connectés à un PC Windows, LG Monitor App Installer s’installe automatiquement pour promouvoir un abonnement McAfee, sans aucune procédure d’approbation par l’utilisateur
  • Après l’installation par Windows Update des paquets d’extension LG et des composants logiciels, l’installation de l’application a commencé environ 1 minute plus tard, sans fenêtre de consentement ni autorisation de téléchargement
  • Après 32 démarrages consécutifs avec un LG UltraGear 34GX900A-B, Gamers Nexus a constaté 31 affichages de publicité McAfee ; lors de l’unique autre démarrage, c’est un utilitaire de moniteur LG qui a été promu
  • Des pop-up sont aussi apparus sur un LG UltraFine 32UN880-B acheté il y a 3 ans, et des plaintes liées à cette application remontent au moins à 2024, ce comportement n’étant donc pas limité aux nouveaux produits
  • Il est possible d’empêcher le téléchargement automatique des applications associées aux appareils via une stratégie de groupe Windows, mais il peut alors être nécessaire d’installer manuellement les logiciels utiles pour les moniteurs et périphériques

Installation automatique sans accord de l’utilisateur

  • Lorsque certains moniteurs LG sont connectés à un PC Windows, un logiciel faisant la promotion d’un abonnement McAfee peut s’installer automatiquement
  • Après avoir reçu des signalements de propriétaires de moniteurs, Gamers Nexus a reproduit le même comportement sur un LG UltraGear 34GX900A-B
  • Windows Update a d’abord installé un paquet d’extension LG ainsi qu’un paquet de composants logiciels
    • Dans Windows Reliability Monitor, LG Monitor App Installer apparaît environ 1 minute plus tard
    • Aucun écran de consentement n’est apparu pendant l’installation, et l’utilisateur n’avait pas non plus à approuver le téléchargement

Une promotion McAfee répétée

  • Gamers Nexus a testé l’application sur 32 démarrages consécutifs
    • Dans 31 cas, une promotion McAfee a été affichée
    • Dans le seul cas restant, c’est l’un des utilitaires de moniteur de LG qui a été promu
  • La fenêtre McAfee proposait un essai gratuit de 30 jours avant un passage à un abonnement payant

Un comportement qui s’étend aussi aux anciens moniteurs

  • Cette installation automatique ne se limite pas aux écrans nouvellement achetés
    • Des pop-up sont aussi apparus sur un LG UltraFine 32UN880-B acheté il y a 3 ans
    • Les plaintes d’utilisateurs liées à LG Monitor App Installer remontent au moins à 2024
  • L’augmentation récente des signalements suggère que davantage de modèles commencent à recevoir l’application, mais la liste exacte des modèles concernés n’a pas été confirmée
  • Le Microsoft Store indique que l’application peut accéder à Internet et à toutes les ressources système
  • L’étendue couverte par les documents de confidentialité de LG fait également partie des préoccupations soulevées par Gamers Nexus

Une méthode similaire également observée chez Dell

  • Cette méthode consistant à détecter un appareil puis à déployer automatiquement un logiciel via Windows Update n’est pas propre à LG
  • Dell distribue lui aussi Alienware Command Center lorsque Windows détecte un moniteur ou un périphérique Alienware compatible
  • Dans un cas où un nouveau moniteur Alienware a été connecté en DisplayPort, l’installation de l’application s’est également relancée à plusieurs reprises, et il a fallu la bloquer via la même stratégie de groupe Windows

Blocage via la stratégie de groupe Windows

  • Dans Computer Configuration → Administrative Templates → System → Device Installation, il est possible d’activer la stratégie “Prevent automatic download of applications associated with device metadata”
  • Une fois cette stratégie appliquée, Windows ne peut plus télécharger automatiquement les applications associées au matériel connecté
  • Comme cela peut aussi empêcher l’installation des utilitaires nécessaires pour les moniteurs et périphériques, il peut être nécessaire de télécharger soi-même ces logiciels

À lire aussi

4 commentaires

 
euphcat 18 시간 전

Pour les pilotes indispensables, passe encore, mais pourquoi Windows Update installe-t-il de son propre chef les utilitaires du fabricant ?!
 
twiddlingguidable 17 시간 전

https://reddit.com/r/MicrosoftEdge/… J’ai tellement souvent vécu ce genre de choses à chaque fois que j’utilise Windows que je finis par ne plus m’en étonner…
 
aigirlfriend 17 시간 전

On dirait qu’ils enviaient les fabricants de cartes mères qui imposent leurs bloatwares.
 
GN⁺ 1 일 전
Réactions sur Hacker News

  • C’est bien plus grave que ne le laisse entendre le titre. Le système d’exploitation installe en arrière-plan, sans action de l’utilisateur, un logiciel d’un fabricant tiers, qui peut s’exécuter dès que n’importe qui branche un périphérique HDMI
    Ce logiciel a accès à Internet et à l’ensemble du système, n’est pas sandboxé et se lance à chaque démarrage. Il semble sans précédent que cela ait été étendu non seulement aux nouveaux moniteurs LG, mais aussi à d’anciens modèles déjà connectés et à des modèles professionnels
    GamersNexus a analysé en détail ce que fait LG : https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Les fabricants d’imprimantes, de souris et de tablettes utilisent déjà cette fonction pour pousser des logiciels préinstallés inutiles au moins depuis l’époque de Windows Vista ou Windows 7. En branchant une souris Razer, un logiciel de 1,5 Go se téléchargeait immédiatement, et sa télémétrie pouvait transmettre en temps réel les données d’un PC gaming vers l’extérieur
      Microsoft a les moyens de bloquer les fabricants, mais ne le fait pas. Des entreprises comme Razer sont peut-être désormais plus proches de sociétés de marketing et de données que de véritables fabricants de matériel
    • Microsoft autorise ce genre de pratique depuis des décennies, donc ce n’est pas un problème nouveau. Cette fois, le logiciel de LG s’est simplement montré de façon bien plus flagrante que les installations automatiques habituelles, ce qui a provoqué une réaction hostile des utilisateurs
      Il est difficile de comprendre pourquoi Microsoft autorise et active cela, et l’entreprise semble avoir perdu le sens de ce qu’est un produit centré sur l’utilisateur
    • Il y a quelques années, brancher une souris USB Razer amenait Windows à télécharger puis exécuter un programme d’installation, et l’utilisateur courant pouvait ensuite lancer PowerShell avec les droits administrateur depuis ce programme. Razer a d’abord tenté de minimiser le problème avant de le corriger
      L’USB n’a pas de mécanisme d’authentification et Windows n’utilise que les VendorID et ProductID sur 16 bits pour trouver un package de pilotes. Il est simple de faire utiliser un ID arbitraire à un MCU, et un appareil peut d’abord sembler normal, puis se déconnecter selon un minuteur ou un signal externe avant de se reconnecter en se faisant passer pour un autre périphérique
      https://arstechnica.com/information-technology/2021/08/need-...
    • Windows peut télécharger automatiquement les pilotes recommandés du matériel connecté via Windows Update : https://support.microsoft.com/en-us/windows/hardware/drivers...
      Il y a 8 ans déjà, même après avoir désactivé le téléchargement automatique des applications du fabricant, supprimé les pilotes puis redémarré, tout se réinstallait en environ 2 minutes ; autre problème à l’époque, Windows installait même l’ancien pilote Nvidia 388.1 au lieu de la version la plus récente : https://www.reddit.com/r/Windows10/comments/8tlre3/why_is_it...
    • Il devient difficile de conclure autre chose que Windows lui-même est un malware. Heureusement que je n’utilise plus Windows depuis plus de 10 ans

  • Pour bloquer l’installation automatique, il faut activer dans gpedit.msc l’option Computer Configuration > Administrative Templates > System > Device Installation > Prevent automatic download of applications associated with device metadata
    Sur l’édition Home, où gpedit.msc n’existe pas, il faut aller dans sysdm.cpl, puis Hardware > Device Installation Settings, choisir No à la question sur le téléchargement automatique des applications du fabricant, puis enregistrer

    • gpedit.msc n’est pas inclus par défaut dans Windows Home, et il n’existe que des méthodes non officielles pour l’ajouter. On demande beaucoup trop d’efforts aux utilisateurs pour contourner un problème qui ne devrait pas exister au départ
      Microsoft doit intervenir, et cela ne peut pas être considéré comme une exigence normale pour utiliser ses produits
    • Si quelqu’un est capable de trouver et d’appliquer ce réglage, c’est déjà trop technique pour le grand public ; autant installer Linux. La plupart des gens ne découvriront jamais cette méthode et ne comprendront même pas que le logiciel LG est un spyware
    • Même avec ce réglage désactivé, certaines souris installaient encore leurs pilotes à chaque connexion. Windows mettait en cache dans le Driver Store les pilotes téléchargés automatiquement, puis les réinstallait à chaque branchement, ce qui faisait revenir sans cesse les logiciels inutiles ; je me demande si c’est toujours le cas aujourd’hui
    • J’ai eu la même chose avec un moniteur Alienware, mais cela ne se produit pas sous Linux

  • À supposer que Microsoft ne touche pas une part des revenus, il peut être plus efficace de faire pression sur Microsoft plutôt que sur LG. C’est Microsoft qui décide quoi installer, et l’entreprise semble aujourd’hui partir du principe que les fabricants de matériel fournissent des logiciels appropriés
    Surtout si de grands clients entreprises protestent, la politique pourrait être durcie, et LG pourrait être averti qu’en cas de récidive son droit de diffuser des mises à jour serait révoqué. LG sait que, les produits étant déjà vendus, les promesses de boycott au prochain achat finissent souvent par s’estomper, alors que Microsoft négocie de gros contrats chaque jour ; si cela devient un obstacle commercial consigné quelque part, l’entreprise aura une vraie incitation à réagir

    • Beaucoup d’entreprises désactivent Windows Update et n’autorisent que ce qui passe par leur propre système Windows Update interne. L’absence de certaines mises à jour peut aussi se retourner contre elles ; par exemple, il est déjà arrivé que le dernier pilote Intel Wi-Fi ne soit pas déployé, ce qui a causé des problèmes
      Les entreprises risquent de ne jamais voir ces installations automatiques et ne s’en plaindront donc pas, d’autant qu’elles sont déjà habituées aux problèmes de qualité plus généraux de Windows
    • Il faut désormais critiquer cette attitude qui consiste à exiger une signature sur tout avant exécution, sans assumer aucune responsabilité, puis à rejeter la faute sur ce qu’a fait l’ordinateur quand un problème survient
    • Un pilote doit se limiter à son rôle de pilote. Les fabricants ajoutent les logiciels qu’ils veulent sous prétexte que cela fonctionne, et comme c’est surtout Microsoft qui reçoit les plaintes, c’est à Microsoft d’en assumer la responsabilité

  • Le moniteur n’installe pas lui-même de logiciel sur l’ordinateur : c’est Windows qui l’installe automatiquement, donc Microsoft porte une responsabilité. On peut y voir une faille de sécurité comparable au problème d’exécution automatique de logiciels malveillants lors du branchement d’une clé USB

    • Il n’y a pas que Microsoft : LG est aussi responsable, et Microsoft est la partie qui a rendu cela possible
    • AutoRun exécutait des fichiers présents sur une clé USB sans aucune vérification, mais ici c’est différent. Il s’agit de l’installation d’un pilote fourni par une entreprise jugée assez digne de confiance pour passer la signature et la validation de Microsoft, et LG a trahi cette confiance
    • La responsabilité incombe à la fois à Microsoft et à LG
    • Les moniteurs modernes peuvent aussi se connecter en USB, ils peuvent donc se faire passer pour un clavier ou une souris et pousser à l’installation de logiciels. Il est difficile de croire que ces entreprises s’en abstiendront

  • Windows doit revoir en urgence son modèle de consentement pour les pilotes. Il est impossible de bloquer un seul pilote précis, donc même si l’on installe chez Lenovo le pilote d’écran tactile 7.7.2.66, Windows le rétablit en 7.7.2.44 le lendemain
    Le lien vers la version la plus récente est https://pcsupport.lenovo.com/us/en/products/laptops-and-netb...
    Même en masquant la mise à jour dans PowerShell, il n’y a pas de numéro KB donc elle n’est pas filtrée, et exécuter get-windowsupdate -isHidden | ft Status,KB,Size,Title prend aussi plus de 20 secondes

  • Ce type de logiciel malveillant continuera tant qu’il ne sera pas rendu illégal par le droit à la vie privée. S’il suffit d’obtenir un consentement, les entreprises se contenteront d’affirmer que vous avez lu des conditions d’utilisation de 1.8PiB, qu’elles peuvent modifier les clauses à tout moment, et d’y ajouter une mention disant qu’il est difficile de poursuivre à cause de l’arbitrage forcé
    Le fait que Microsoft et Windows aient habitué les utilisateurs à penser que même les périphériques utilisant des protocoles standard ont besoin de pilotes est aussi un problème. Un moniteur ne fait que recevoir des pixels et les afficher, il n’a donc pas besoin de pilote distinct

    • Si un particulier faisait la même chose, il irait clairement en prison

  • La vidéo de Gamers Nexus vaut largement le détour : https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Je me demande si l’environnement des produits LG diffère fortement entre l’Europe et les États-Unis. Mon moniteur LG et ma TV LG OLED achetés et utilisés en Espagne n’affichent aucune publicité, mais en ligne les plaintes sur la publicité des écrans LG sont nombreuses
      Je n’ai pas l’intention de démarrer Windows tant que ce problème de logiciel malveillant ne sera pas réglé, et il semble que les utilisateurs américains reçoivent davantage de publicités

  • J’ajoute LG à ma liste de boycott, avec EA et Blizzard Entertainment. Je ne peux peut-être pas changer l’entreprise ou sa politique, mais je peux choisir de ne pas acheter

  • Avant, on appelait ça un spyware ou un logiciel malveillant, mais c’est désormais une pratique ordinaire pour les équipes d’ingénierie et les managers des grandes entreprises

    • La FTC définit un logiciel malveillant comme un logiciel nuisible installé sur un appareil à l’insu de l’utilisateur. Les moniteurs LG installent discrètement des logiciels, ralentissent le système et perturbent le travail avec de la publicité, donc il faut continuer à parler de logiciel malveillant
    • Si ce n’est pas un logiciel malveillant, je me demande comment il faudrait appeler cela aujourd’hui
    • Ce n’est pas nouveau. Depuis 15 ans, les malwares, adwares et spywares sont simplement devenus plus fréquents dans les navigateurs et les applications mobiles qu’au travers d’installateurs Windows trafiqués
    • Il est peu probable qu’un manager d’une équipe d’ingénierie subalterne ait pris cette décision. Il est plus probable qu’un service marketing ou partenariats ait eu l’idée et l’ait proposée à la direction
      Il est difficile de comprendre pourquoi on s’attendrait à ce qu’un manager intermédiaire, quelque part, empêche ce genre de chose

  • Je ne comprends pas pourquoi, sur plusieurs plateformes, on traite d’excessivement sensibles ceux qui s’inquiètent de ce problème. Il s’agit d’un spyware évident qui s’installe dès qu’on connecte l’appareil, une pratique aussi lamentable que lorsque le DRM des DVD Sony installait des spywares

    • Il suffit d’imaginer qu’un collègue fasse une chose pareille pour comprendre immédiatement la gravité