LG-Monitore installieren Software ohne Zustimmung der Nutzer per Windows Update

 (videocardz.com)
3 Punkte von GN⁺ 1 일 전 | 4 Kommentare | Auf WhatsApp teilen
  • Wird ein LG-Monitor mit einem Windows-PC verbunden, kann sich bei einigen Modellen der LG Monitor App Installer automatisch installieren und für ein McAfee-Abonnement werben; ein Verfahren zur Zustimmung der Nutzer wird nicht angeboten
  • Nachdem Windows Update LG-Erweiterungs- und Softwarekomponentenpakete installiert hatte, begann nach etwa 1 Minute die App-Installation; weder ein Zustimmungsdialog noch eine Download-Freigabe wurde angezeigt
  • Gamers Nexus startete mit einem LG UltraGear 34GX900A-B 32-mal hintereinander neu; dabei wurden 31-mal McAfee-Anzeigen eingeblendet, im verbleibenden Fall wurde ein LG-Monitor-Utility beworben
  • Auch bei einem vor drei Jahren gekauften LG UltraFine 32UN880-B erschien das Popup, und entsprechende Beschwerden reichen mindestens bis 2024 zurück; das Verhalten ist also nicht auf neue Produkte beschränkt
  • Über Windows-Gruppenrichtlinien lässt sich der automatische Download gerätebezogener Apps verhindern, allerdings muss benötigte Monitor- und Peripherie-Software dann unter Umständen manuell installiert werden

Automatische Installation ohne Zustimmung der Nutzer

  • Wird ein LG-Monitor mit einem Windows-PC verbunden, kann automatisch Software installiert werden, die für ein McAfee-Abonnement wirbt
  • Gamers Nexus erhielt Hinweise von Monitorbesitzern und konnte dasselbe Verhalten beim LG UltraGear 34GX900A-B reproduzieren
  • Windows Update installiert zunächst ein LG-Erweiterungspaket und ein Softwarekomponentenpaket
    • Im Windows Reliability Monitor erscheint etwa 1 Minute später der LG Monitor App Installer
    • Während der Installation gab es keinen Zustimmungsdialog, und die Nutzer mussten den Download nicht freigeben

Wiederholte McAfee-Werbung

  • Gamers Nexus testete die Anwendung mit 32 aufeinanderfolgenden Starts
    • In 31 Fällen wurde eine McAfee-Promotion angezeigt
    • Im verbleibenden Fall wurde eines der eigenen Monitor-Utilities von LG beworben
  • Das McAfee-Popup bot eine 30-tägige kostenlose Testversion, die anschließend in ein kostenpflichtiges Abonnement übergeht

Verhalten reicht bis zu älteren Monitoren zurück

  • Die automatische Installation ist nicht nur auf neu gekaufte Displays beschränkt
    • Auch bei einem vor drei Jahren gekauften LG UltraFine 32UN880-B erschien das Popup
    • Nutzerbeschwerden zum LG Monitor App Installer reichen mindestens bis 2024 zurück
  • Die jüngste Zunahme der Meldungen könnte damit zusammenhängen, dass mehr Modelle die App erhalten, der genaue Umfang der betroffenen Modelle ist jedoch nicht bestätigt
  • Der Microsoft Store führt als Funktionen der App Zugriff auf das Internet und alle Systemressourcen auf
  • Auch der Umfang der LG-Datenschutzdokumente war für Gamers Nexus ein Anlass zur Sorge

Ähnliche Methode auch bei Dell beobachtet

  • Die automatische Verteilung von Software über Windows Update nach Erkennung eines Geräts ist nicht auf LG beschränkt
  • Auch Dell verteilt das Alienware Command Center, wenn Windows einen kompatiblen Alienware-Monitor oder entsprechende Peripherie erkennt
  • In einem Fall, in dem ein neuer Alienware-Monitor per DisplayPort angeschlossen wurde, wurde die App-Installation wiederholt ausgeführt und musste über dieselbe Windows-Gruppenrichtlinie blockiert werden

Blockieren per Windows-Gruppenrichtlinie

  • Unter Computer Configuration → Administrative Templates → System → Device Installation kann die Richtlinie „Prevent automatic download of applications associated with device metadata“ aktiviert werden
  • Ist diese Richtlinie aktiv, lädt Windows keine Anwendungen mehr automatisch herunter, die mit angeschlossener Hardware verknüpft sind
  • Dadurch werden möglicherweise auch benötigte Monitor- und Peripherie-Utilities nicht installiert, sodass diese Software manuell heruntergeladen werden muss

Verwandte Beiträge

4 Kommentare

 
euphcat 18 시간 전

Bis zu den notwendigen Treibern kann man das noch nachvollziehen, aber warum installiert Windows Update eigenmächtig Hersteller-Utilities?!
 
twiddlingguidable 17 시간 전

https://reddit.com/r/MicrosoftEdge/…

Ich erlebe so etwas jedes Mal, wenn ich Windows benutze, deshalb nehme ich es inzwischen einfach hin..
 
aigirlfriend 16 시간 전

Die Mainboard-Hersteller mit ihrer Zwangsbündelung von Bloatware haben sie wohl neidisch gemacht.
 
GN⁺ 1 일 전
Meinungen auf Hacker News

  • Viel gravierender als die Überschrift vermuten lässt. Das Betriebssystem installiert ohne Zutun des Nutzers Software eines Drittanbieters im Hintergrund, und sie kann sofort ausgeführt werden, sobald irgendjemand ein HDMI-Gerät anschließt.
    Diese Software hat Zugriff auf das Internet und das gesamte System, läuft ohne Sandbox und startet bei jedem Booten. Dass dies nicht nur für neue LG-Monitore gilt, sondern auch auf bereits angeschlossene ältere Modelle und Profi-Modelle ausgeweitet wurde, dürfte beispiellos sein.
    GamersNexus hat LGs Vorgehen ausführlich analysiert: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Hersteller von Druckern, Mäusen und Tablets haben diese Funktion mindestens seit Windows Vista oder Windows 7 genutzt, um unnötige Bundle-Software unterzuschieben. Schließt man eine Razer-Maus an, wird sofort 1,5 GB Software heruntergeladen, und Telemetrie-Funktionen übertragen mitunter Daten eines Gaming-PCs in Echtzeit nach außen.
      Microsoft hätte Mittel, Hersteller zu blockieren, tut es aber nicht. Firmen wie Razer sind inzwischen möglicherweise eher Marketing- und Datenunternehmen als Hardwarefirmen.
    • Microsoft erlaubt solches Verhalten seit Jahrzehnten, daher ist das Problem nicht neu. Diesmal ist LGs Software nur deutlich offensichtlicher als frühere automatische Installationen, weshalb die Gegenreaktion der Nutzer größer ausfällt.
      Es ist schwer zu verstehen, warum Microsoft das zulässt und aktiviert; offenbar ist dort das Gespür dafür verloren gegangen, nutzerorientierte Produkte zu bauen.
    • Vor einigen Jahren lud Windows beim Anschließen einer Razer-USB-Maus ein Installationsprogramm herunter und führte es aus; der aktuelle Nutzer konnte daraus eine PowerShell mit Administratorrechten starten. Razer versuchte das zunächst herunterzuspielen, korrigierte es später aber.
      USB hat keine Authentifizierung, sondern nur die 16-Bit-VendorID und ProductID, die Windows zum Finden von Treiberpaketen nutzt. Es ist einfach, einen MCU beliebige IDs verwenden zu lassen; ein Gerät kann zunächst normal erscheinen und sich dann je nach Timer oder externem Signal trennen, als anderes Gerät ausgeben und erneut verbinden.
      https://arstechnica.com/information-technology/2021/08/need-...
    • Windows kann über Windows Update empfohlene Treiber für angeschlossene Hardware automatisch herunterladen: https://support.microsoft.com/en-us/windows/hardware/drivers...
      Schon vor acht Jahren wurden selbst nach dem Deaktivieren automatischer Hersteller-App-Downloads, dem Löschen der Treiber und einem Neustart nach etwa zwei Minuten alle Komponenten wieder installiert; problematisch war dabei auch, dass sogar Nvidia 388.1 installiert wurde, obwohl es älter war als die damalige aktuelle Version: https://www.reddit.com/r/Windows10/comments/8tlre3/why_is_it...
    • Inzwischen lässt sich kaum ein anderer Schluss ziehen, als dass Windows selbst Schadsoftware ist. Gut, dass ich seit über zehn Jahren kein Windows mehr benutze.

  • Automatische Installation blockieren kann man, indem man in gpedit.msc unter Computer Configuration > Administrative Templates > System > Device Installation > Prevent automatic download of applications associated with device metadata die Richtlinie aktiviert.
    Bei Home-Editionen ohne gpedit.msc kann man über sysdm.cpl zu Hardware > Device Installation Settings gehen, bei der Frage zum automatischen Download von Hersteller-Apps No auswählen und speichern.

    • gpedit.msc ist in Windows Home standardmäßig nicht enthalten; es gibt nur inoffizielle Wege, es hinzuzufügen. Von Nutzern wird viel zu viel Aufwand verlangt, nur um ein Problem zu umgehen, das es überhaupt nicht geben sollte.
      Microsoft muss eingreifen; das kann keine normale Voraussetzung dafür sein, die eigenen Produkte zu nutzen.
    • Wer diese Einstellung finden und anwenden kann, ist technisch versiert genug, um gleich Linux zu installieren; für normale Verbraucher ist das zu technisch. Die meisten werden diese Methode nicht finden und nicht einmal verstehen, dass LGs Software Spyware ist.
    • Es gab Mäuse, die bei jedem Anschließen Treiber installierten, selbst wenn diese Einstellung deaktiviert war. Windows hatte die automatisch heruntergeladenen Treiber im Driver Store zwischengespeichert und bei Geräteanschluss erneut installiert, sodass die unerwünschte Software immer wieder zurückkam. Ich frage mich, ob das heute noch so ist.
    • Bei einem Alienware-Monitor habe ich dasselbe erlebt, aber unter Linux passiert das nicht.

  • Unter der Annahme, dass Microsoft nicht an den Einnahmen beteiligt wird, könnte es effektiver sein, Microsoft unter Druck zu setzen statt LG. Microsoft entscheidet, was installiert wird, und scheint derzeit darauf zu vertrauen, dass Hardwarehersteller geeignete Software bereitstellen.
    Besonders wenn Großkunden protestieren, könnten die Richtlinien verschärft werden, und LG könnte mitgeteilt werden, dass bei einem erneuten Vorfall die Update-Berechtigungen entzogen werden. LG weiß, dass Boykottversprechen beim nächsten Kauf verblassen können, nachdem das Produkt bereits verkauft ist; Microsoft hingegen verhandelt täglich große Verträge, und wenn dies als Vertriebshemmnis auftaucht, hat das Unternehmen einen starken Anreiz zu reagieren.

    • Viele Unternehmen deaktivieren Windows Update und erlauben nur Inhalte, die durch ein internes Windows-Update-System gegangen sind. Fehlende Updates können auch nach hinten losgehen; tatsächlich gab es schon Probleme, weil ein aktueller Intel-Wi-Fi-Treiber nicht verteilt wurde.
      Unternehmen werden solche automatischen Installationen wahrscheinlich nicht sehen und daher nicht protestieren; außerdem sind sie an die allgemeinen Qualitätsprobleme von Windows bereits gewöhnt.
    • Es ist an der Zeit, die Haltung zu kritisieren, dass für alles vor der Ausführung Signaturen verlangt werden, aber niemand Verantwortung übernimmt und Probleme dann einfach dem Computer zugeschrieben werden.
    • Treiber sollten nur Treiber sein. Hersteller packen beliebige Software dazu, weil sie funktioniert, während die Beschwerden größtenteils bei Microsoft landen; deshalb muss Microsoft Verantwortung übernehmen.

  • Nicht der Monitor selbst installiert Software auf dem Computer, sondern Windows installiert sie automatisch; daher liegt die Verantwortung bei Microsoft. Das lässt sich als Sicherheitsmangel sehen, ähnlich dem früheren Problem, dass beim Anschließen von USB-Laufwerken Schadsoftware automatisch ausgeführt wurde.

    • Nicht nur Microsoft, sondern auch LG trägt Verantwortung; Microsoft ist die Seite, die dies ermöglicht hat.
    • AutoRun führte Dateien auf einem USB-Stick ohne jegliche Prüfung aus, aber dieser Fall ist anders. Installiert wurde ein Treiber eines Unternehmens, dem genug vertraut wurde, um Microsofts Signatur und Prüfung zu bestehen; LG hat dieses Vertrauen missbraucht.
    • Die Verantwortung liegt bei Microsoft und LG gleichermaßen.
    • Moderne Monitore werden auch per USB angeschlossen und könnten sich daher als Tastatur oder Maus ausgeben, um tatsächlich eine Softwareinstallation anzustoßen. Es fällt schwer zu glauben, dass solche Unternehmen das nicht tun würden.

  • Windows muss sein Zustimmungsmodell für Treiber dringend überarbeiten. Man kann keinen einzelnen bestimmten Treiber blockieren: Selbst wenn man bei Lenovo den Touchscreen-Treiber 7.7.2.66 installiert, setzt Windows ihn am nächsten Tag wieder auf 7.7.2.44 zurück.
    Der Link zur aktuellen Version ist https://pcsupport.lenovo.com/us/en/products/laptops-and-netb....
    Selbst wenn man das Update in PowerShell ausblendet, lässt es sich mangels KB-Nummer nicht filtern, und selbst get-windowsupdate -isHidden | ft Status,KB,Size,Title braucht mehr als 20 Sekunden.

  • Solche Schadsoftware wird es weiter geben, bis sie durch Datenschutzgesetze illegal gemacht wird. Wenn nur Zustimmung verlangt wird, werden Unternehmen lediglich in ihre Bedingungen schreiben, dass man die 1,8 PiB großen Nutzungsbedingungen gelesen habe, dass sie die Klauseln jederzeit ändern können und dass Klagen wegen Zwangsschlichtung schwierig sind.
    Problematisch ist auch, dass Microsoft und Windows die Nutzer daran gewöhnt haben, dass selbst Peripheriegeräte mit Standardprotokollen Treiber benötigen. Ein Monitor nimmt Pixel entgegen und zeigt sie an; dafür braucht es keinen separaten Treiber.

    • Hätte eine Privatperson dasselbe getan, wäre sie mit Sicherheit im Gefängnis gelandet.

  • Das Video von Gamers Nexus ist absolut sehenswert: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Ich frage mich, ob sich die LG-Produktumgebungen in Europa und den USA stark unterscheiden. Auf meinem in Spanien gekauften und genutzten LG-Monitor und LG-OLED-TV gibt es keinerlei Werbung, online gibt es aber viele Beschwerden über Werbung auf LG-Displays.
      Bis dieses Schadsoftware-Problem gelöst ist, habe ich nicht vor, Windows zu booten; es wirkt so, als bekämen US-Nutzer mehr Werbung.

  • LG wird zusammen mit EA und Blizzard Entertainment auf die Nicht-kaufen-Liste gesetzt. Man kann das Unternehmen oder seine Richtlinien vielleicht nicht ändern, aber man kann darauf verzichten, seine Produkte zu kaufen.

  • Früher nannte man so etwas Spyware oder Schadsoftware, inzwischen ist es für Engineering-Teams und Manager großer Unternehmen zur Alltagspraxis geworden.

    • Die FTC definiert Schadsoftware als schädliche Software, die ohne Wissen des Nutzers auf einem Gerät installiert wird. Ein LG-Monitor installiert heimlich Software, verlangsamt das System und stört die Arbeit mit Werbung; deshalb sollte man es weiterhin Schadsoftware nennen.
    • Wenn das keine Schadsoftware ist, fragt man sich, wie man so etwas heute nennen soll.
    • Neu ist das nicht. In den letzten 15 Jahren waren Schad-, Werbe- und Spyware nur eher in Browsern und mobilen Apps verbreitet als in manipulierten Windows-Installern.
    • Es ist unwahrscheinlich, dass ein Manager eines untergeordneten Engineering-Teams so eine Entscheidung getroffen hat. Wahrscheinlicher ist, dass Marketing- oder Partnerabteilungen die Idee entwickelt und dem Topmanagement vorgeschlagen haben.
      Es ist schwer nachvollziehbar, warum man erwarten sollte, dass irgendein mittlerer Manager irgendwo so etwas verhindert.

  • Ich verstehe nicht, warum Menschen, die sich auf verschiedenen Plattformen darüber Sorgen machen, als überempfindlich dargestellt werden. Das ist offensichtliche Spyware, die installiert wird, sobald man ein Gerät anschließt, und ein ähnlich mieses Verhalten wie damals Sonys DVD-DRM, das Spyware installierte.

    • Wenn man sich vorstellt, ein Kollege hätte so etwas getan, wird die Tragweite sofort klar.