Màn hình LG cài đặt phần mềm qua Windows Update mà không có sự đồng ý của người dùng

(videocardz.com)

3 điểm bởi GN⁺ 1 ngày trước | 4 bình luận | Chia sẻ qua WhatsApp

Khi kết nối một số màn hình LG với PC Windows, LG Monitor App Installer được cài đặt tự động để quảng bá gói đăng ký McAfee, không có quy trình xin phép người dùng
Sau khi Windows Update cài đặt các gói thành phần mở rộng và phần mềm của LG, việc cài ứng dụng bắt đầu sau khoảng 1 phút, không có cửa sổ đồng ý hay xác nhận tải xuống
Gamers Nexus đã khởi động liên tiếp 32 lần với LG UltraGear 34GX900A-B và kết quả là 31 lần hiển thị quảng cáo McAfee; lần còn lại quảng bá tiện ích màn hình của LG
Popup cũng xuất hiện trên LG UltraFine 32UN880-B mua cách đây 3 năm, và các phàn nàn liên quan đã kéo dài ít nhất từ năm 2024, cho thấy hành vi này không chỉ giới hạn ở sản phẩm mới
Có thể chặn tự động tải ứng dụng gắn với thiết bị bằng Group Policy của Windows, nhưng phần mềm cần thiết cho màn hình và thiết bị ngoại vi cũng có thể phải tự cài đặt thủ công

Tự động cài đặt không có sự chấp thuận của người dùng

Khi kết nối một số màn hình LG với PC Windows, phần mềm quảng bá gói đăng ký McAfee có thể được cài đặt tự động
Sau khi nhận được báo cáo từ các chủ sở hữu màn hình, Gamers Nexus đã tái hiện hành vi tương tự trên LG UltraGear 34GX900A-B
Windows Update trước tiên cài đặt gói mở rộng của LG và gói thành phần phần mềm
- Trong Windows Reliability Monitor, LG Monitor App Installer xuất hiện sau khoảng 1 phút
- Quá trình cài đặt không có cửa sổ đồng ý, và người dùng cũng không cần phê duyệt tải xuống

Quảng bá McAfee lặp đi lặp lại

Gamers Nexus đã thử nghiệm bằng cách khởi động ứng dụng liên tiếp 32 lần
- 31 lần hiển thị khuyến mãi McAfee
- 1 lần còn lại quảng bá một trong các tiện ích màn hình riêng của LG
Popup McAfee cung cấp dùng thử miễn phí 30 ngày, sau đó chuyển sang gói đăng ký trả phí

Hành vi lan tới cả màn hình đời cũ

Việc cài đặt tự động không chỉ giới hạn ở màn hình mới mua
- Popup cũng xuất hiện trên LG UltraFine 32UN880-B mua cách đây 3 năm
- Khiếu nại của người dùng liên quan đến LG Monitor App Installer đã có ít nhất từ năm 2024
Việc số lượng báo cáo gần đây tăng lên có thể liên quan đến khả năng nhiều mẫu hơn bắt đầu nhận ứng dụng, nhưng phạm vi mẫu được áp dụng chính xác chưa được xác nhận
Microsoft Store liệt kê quyền của ứng dụng này là truy cập Internet và toàn bộ tài nguyên hệ thống
Phạm vi bao phủ trong tài liệu quyền riêng tư của LG cũng là đối tượng khiến Gamers Nexus lo ngại

Cách làm tương tự cũng được phát hiện ở Dell

Cách tự động phân phối phần mềm qua Windows Update sau khi phát hiện thiết bị không chỉ giới hạn ở LG
Dell cũng phân phối Alienware Command Center khi Windows phát hiện màn hình hoặc thiết bị ngoại vi Alienware tương thích
Trong một trường hợp kết nối màn hình Alienware mới qua DisplayPort, quá trình cài đặt ứng dụng cũng chạy lặp lại và phải chặn bằng cùng Group Policy của Windows

Chặn bằng Group Policy của Windows

Có thể bật chính sách “Prevent automatic download of applications associated with device metadata” tại Computer Configuration → Administrative Templates → System → Device Installation
Khi áp dụng chính sách này, Windows sẽ không tự động tải xuống các ứng dụng liên kết với phần cứng được kết nối
Các tiện ích cần thiết cho màn hình và thiết bị ngoại vi cũng có thể không được cài đặt, nên có thể phải tự tải xuống phần mềm đó

4 bình luận

euphcat 18 giờ trước

Đến mức driver bắt buộc thì còn có thể chấp nhận được, nhưng sao Windows Update lại tự ý cài cả tiện ích của nhà sản xuất vậy?!

twiddlingguidable 17 giờ trước

https://reddit.com/r/MicrosoftEdge/… Tôi gặp kiểu này rất nhiều mỗi khi dùng Windows nên giờ cũng đành coi như chuyện thường..

aigirlfriend 17 giờ trước

Có vẻ họ ghen tị với việc các hãng sản xuất bo mạch chủ ép người dùng cài bloatware.

GN⁺ 1 ngày trước

Ý kiến trên Hacker News

Nghiêm trọng hơn tiêu đề rất nhiều. Hệ điều hành cài phần mềm của nhà sản xuất bên thứ ba chạy nền mà không cần thao tác của người dùng, và có thể được thực thi ngay khi bất kỳ ai kết nối thiết bị HDMI
Phần mềm này có quyền truy cập Internet và toàn hệ thống, không có sandbox, và khởi động mỗi khi máy bật. Việc này đã được mở rộng không chỉ sang màn hình LG mới mà cả các mẫu cũ đã kết nối và các mẫu chuyên nghiệp, nên rất khó tìm tiền lệ tương tự
GamersNexus đã phân tích chi tiết hành vi của LG: https://www.youtube.com/watch?v=Q9uefFYe6bM
- Các hãng sản xuất máy in, chuột và tablet ít nhất từ thời Windows Vista hoặc Windows 7 đã dùng tính năng này để đẩy phần mềm đi kèm không cần thiết. Khi cắm chuột Razer, phần mềm nặng 1.5GB lập tức được tải xuống, và tính năng telemetry còn truyền dữ liệu từ PC chơi game ra ngoài theo thời gian thực
  Microsoft có cách chặn các nhà sản xuất nhưng đã không ngăn việc này. Các công ty như Razer giờ có lẽ gần với công ty marketing và dữ liệu hơn là công ty phần cứng
- Microsoft đã cho phép kiểu hành vi này suốt hàng chục năm nên không phải vấn đề mới. Chỉ là lần này phần mềm của LG lộ liễu hơn rất nhiều so với các lần tự động cài đặt trước đây nên phản ứng từ người dùng mạnh hơn
  Khó hiểu vì sao Microsoft lại cho phép và kích hoạt việc này, và có vẻ như họ đã mất đi cảm quan xây dựng sản phẩm lấy người dùng làm trung tâm
- Vài năm trước, khi cắm chuột USB Razer, Windows sẽ tải và chạy trình cài đặt, rồi người dùng hiện tại có thể mở PowerShell với quyền quản trị viên từ chương trình đó. Ban đầu Razer cố giảm nhẹ vấn đề nhưng sau đó đã sửa
  USB không có cơ chế xác thực, và Windows chỉ dùng VendorID và ProductID 16-bit để tìm gói driver. Việc khiến MCU dùng một ID tùy ý là đơn giản, và ban đầu nó có thể trông như thiết bị bình thường rồi sau đó ngắt kết nối theo timer hoặc tín hiệu bên ngoài, giả dạng thiết bị khác và kết nối lại
  https://arstechnica.com/information-technology/2021/08/need-...
- Windows có thể tự động tải driver được khuyến nghị cho phần cứng đã kết nối qua Windows Update: https://support.microsoft.com/en-us/windows/hardware/drivers...
  Ngay cả 8 năm trước, dù đã tắt tự động tải app của nhà sản xuất, xóa driver rồi khởi động lại, chỉ khoảng 2 phút sau mọi thứ vẫn được cài lại; khi đó còn có vấn đề là cả Nvidia 388.1 cũ hơn bản mới nhất cũng bị cài vào: https://www.reddit.com/r/Windows10/comments/8tlre3/why_is_it...
- Giờ thật khó đi đến kết luận nào khác ngoài việc bản thân Windows là phần mềm độc hại. May là tôi đã không dùng Windows hơn 10 năm rồi
Cách chặn tự động cài đặt là bật Computer Configuration > Administrative Templates > System > Device Installation > Prevent automatic download of applications associated with device metadata trong gpedit.msc
Trên bản Home không có gpedit.msc, chỉ cần vào Hardware > Device Installation Settings trong sysdm.cpl, chọn No cho câu hỏi về tự động tải app của nhà sản xuất rồi lưu lại
- gpedit.msc không được tích hợp sẵn trong Windows Home, chỉ có các cách thêm vào không chính thức. Việc bắt người dùng làm quá nhiều thao tác để lách một vấn đề vốn không nên tồn tại ngay từ đầu là không chấp nhận được
  Microsoft cần phải can thiệp, và đây không thể được xem là yêu cầu bình thường để dùng sản phẩm của họ
- Nếu có thể tìm và áp dụng được thiết lập này thì với người tiêu dùng phổ thông, nó đã đủ mang tính kỹ thuật đến mức thà cài Linux còn hơn. Đa số sẽ không bao giờ tìm ra cách này, và thậm chí còn không hiểu phần mềm của LG là spyware
- Kể cả khi tắt thiết lập này, vẫn có loại chuột cài driver mỗi lần kết nối. Windows lưu driver tự tải vào Driver Store dưới dạng cache rồi cài lại khi thiết bị được kết nối, nên phần mềm không cần thiết cứ quay lại; không rõ bây giờ còn như vậy không
- Tôi cũng gặp y hệt với màn hình Alienware, nhưng trên Linux thì không xảy ra
Nếu giả định Microsoft không chia phần doanh thu, thì gây áp lực lên Microsoft có thể hiệu quả hơn là lên LG. Microsoft là bên quyết định cài gì, và hiện tại dường như họ đang tin rằng các nhà sản xuất phần cứng sẽ cung cấp phần mềm phù hợp
Đặc biệt nếu khách hàng doanh nghiệp lớn phản đối, chính sách có thể bị siết lại, và LG có thể bị thông báo rằng nếu tái phạm sẽ bị tước quyền cập nhật. LG đã bán xong sản phẩm nên biết lời hứa tẩy chay ở lần mua sau dễ bị quên đi, còn Microsoft ngày nào cũng đàm phán các hợp đồng lớn nên nếu việc này bị ghi nhận là trở ngại kinh doanh thì họ có động lực để phản ứng
- Nhiều công ty tắt Windows Update và chỉ cho phép các mục đã đi qua hệ thống Windows Update nội bộ. Việc thiếu cập nhật đôi khi phản tác dụng, và thực tế từng có vấn đề vì driver Wi‑Fi Intel mới nhất không được phân phối
  Các doanh nghiệp có khả năng sẽ không nhìn thấy kiểu tự động cài đặt này nên cũng sẽ không phàn nàn, và họ vốn đã quen với các vấn đề chất lượng nói chung của Windows
- Họ đòi hỏi mọi thứ phải được ký trước khi chạy, nhưng lại không chịu bất kỳ trách nhiệm nào, và khi có vấn đề thì đổ cho việc máy tính tự làm; giờ phải chỉ trích thái độ đó
- Driver thì chỉ nên làm nhiệm vụ của driver. Nhà sản xuất nhét vào bất kỳ phần mềm nào họ muốn miễn là nó chạy được, còn phần lớn phàn nàn lại đổ lên Microsoft, nên Microsoft phải chịu trách nhiệm
Không phải bản thân màn hình tự cài phần mềm lên máy tính, mà là Windows tự động cài đặt, nên Microsoft phải chịu trách nhiệm. Có thể xem đây là một lỗ hổng bảo mật tương tự vấn đề từng tự động chạy phần mềm độc hại khi kết nối ổ USB
- Không chỉ Microsoft mà LG cũng có trách nhiệm; Microsoft là bên đã tạo điều kiện cho việc này xảy ra
- AutoRun từng chạy các tệp trên USB mà không qua bất kỳ bước xác minh nào, nhưng vụ này thì khác. Đây là việc cài một driver do công ty đủ mức đáng tin để vượt qua chữ ký và xác minh của Microsoft cung cấp, và LG đã phản bội sự tin cậy đó
- Trách nhiệm thuộc về cả Microsoft lẫn LG
- Màn hình hiện đại cũng có thể kết nối qua USB, nên về thực tế có thể giả dạng bàn phím hoặc chuột để dẫn tới việc cài phần mềm. Thật khó để tin rằng các công ty như vậy sẽ không làm thế
Windows cần cải tổ gấp mô hình đồng ý với driver. Không thể chỉ chặn một driver cụ thể, nên dù cài driver màn hình cảm ứng 7.7.2.66 từ Lenovo thì hôm sau Windows vẫn hoàn nguyên về 7.7.2.44
Liên kết bản mới nhất là https://pcsupport.lenovo.com/us/en/products/laptops-and-netb...
Ngay cả khi ẩn bản cập nhật trong PowerShell thì cũng không lọc được vì không có số KB, và chạy get-windowsupdate -isHidden | ft Status,KB,Size,Title cũng mất hơn 20 giây
Loại phần mềm độc hại này sẽ tiếp tục tồn tại cho đến khi bị quy định về quyền riêng tư cấm là bất hợp pháp. Nếu chỉ cần yêu cầu sự đồng ý thì các công ty sẽ chỉ coi như người dùng đã đọc bản điều khoản sử dụng dài 1.8PiB, rằng họ có thể thay đổi điều khoản bất cứ lúc nào, và chèn thêm câu chữ khiến việc kiện tụng trở nên khó khăn vì trọng tài bắt buộc
Việc Microsoft và Windows khiến người dùng quen với chuyện ngay cả thiết bị ngoại vi dùng giao thức tiêu chuẩn cũng cần driver cũng là một vấn đề. Màn hình chỉ nhận pixel rồi hiển thị, nên không cần driver riêng
- Nếu một cá nhân làm điều tương tự thì chắc chắn đã phải vào tù
Video của Gamers Nexus rất đáng xem: https://www.youtube.com/watch?v=Q9uefFYe6bM
- Tò mò không biết môi trường sản phẩm LG ở châu Âu và Mỹ có khác nhau nhiều không. Màn hình LG và TV LG OLED mua và dùng ở Tây Ban Nha của tôi hoàn toàn không có quảng cáo, nhưng trên mạng lại có rất nhiều lời phàn nàn về quảng cáo trên màn hình LG
  Tôi sẽ không khởi động Windows cho đến khi vấn đề phần mềm độc hại này được giải quyết, và có vẻ như người dùng ở Mỹ nhận nhiều quảng cáo hơn
Thêm LG vào danh sách không mua cùng với EA và Blizzard Entertainment. Có thể không thay đổi được công ty hay chính sách của họ, nhưng ít nhất có thể không mua hàng
Trước đây người ta gọi những thứ như vậy là spyware hoặc phần mềm độc hại, nhưng giờ nó đã trở thành thông lệ hằng ngày đối với các đội ngũ kỹ thuật và quản lý ở các tập đoàn lớn
- FTC định nghĩa phần mềm độc hại là phần mềm có hại được cài lên thiết bị mà người dùng không hề hay biết. Màn hình LG lén cài phần mềm, làm hệ thống chậm đi, và cản trở công việc bằng quảng cáo, nên vẫn phải gọi nó là phần mềm độc hại
- Nếu cái này không phải phần mềm độc hại thì thật sự không biết ngày nay nên gọi nó là gì
- Đây không phải chuyện mới. Trong 15 năm qua, thay vì các bộ cài Windows bị chỉnh sửa, thì malware, adware và spyware trên trình duyệt và ứng dụng di động chỉ là trở nên phổ biến hơn mà thôi
- Khả năng thấp là quản lý của một nhóm kỹ thuật cấp dưới đã đưa ra quyết định này. Nhiều khả năng hơn là bộ phận marketing hoặc đối tác nảy ra ý tưởng rồi đề xuất với lãnh đạo cấp cao
  Thật khó hiểu vì sao lại kỳ vọng một quản lý cấp trung nào đó ở đâu đó sẽ ngăn được chuyện này
Không hiểu vì sao trên nhiều nền tảng, những người lo ngại về vấn đề này lại bị quy là phản ứng quá mức. Đây là spyware rõ ràng được cài ngay khi kết nối thiết bị, và là hành vi rác rưởi tương tự như hồi trước Sony DVD DRM từng cài spyware
- Chỉ cần tưởng tượng một đồng nghiệp làm như vậy thì mức độ nghiêm trọng sẽ hiện rõ