Monitores LG instalan software mediante Windows Update sin consentimiento del usuario

 (videocardz.com)
3 puntos por GN⁺ 1 일 전 | 4 comentarios | Compartir por WhatsApp
  • Al conectar algunos monitores LG a una PC con Windows, se instala automáticamente LG Monitor App Installer, que promociona una suscripción a McAfee, sin ofrecer un proceso de aprobación por parte del usuario
  • Después de que Windows Update instala paquetes de extensiones y componentes de software de LG, la instalación de la app comienza aproximadamente 1 minuto después, sin ventana de consentimiento ni aprobación de descarga
  • En una prueba de Gamers Nexus con 32 arranques consecutivos usando un LG UltraGear 34GX900A-B, aparecieron 31 anuncios de McAfee; en la ocasión restante se promocionó una utilidad para monitores de LG
  • El popup también apareció en un LG UltraFine 32UN880-B comprado hace 3 años, y las quejas relacionadas se remontan al menos a 2024, por lo que no es un comportamiento limitado a productos nuevos
  • Se puede bloquear la descarga automática de apps asociadas a dispositivos mediante la directiva de grupo de Windows, pero es posible que también haya que instalar manualmente el software necesario para monitores y periféricos

Instalación automática sin aprobación del usuario

  • Al conectar algunos monitores LG a una PC con Windows, puede instalarse automáticamente software que promociona una suscripción a McAfee
  • Gamers Nexus, tras recibir reportes de dueños de monitores, reprodujo el mismo comportamiento en el LG UltraGear 34GX900A-B
  • Windows Update instala primero un paquete de extensión de LG y un paquete de componentes de software
    • En Windows Reliability Monitor, LG Monitor App Installer aparece aproximadamente 1 minuto después
    • Durante el proceso de instalación no hubo ventana de consentimiento, y el usuario tampoco tuvo que aprobar la descarga

Promoción recurrente de McAfee

  • Gamers Nexus probó la aplicación con 32 arranques consecutivos
    • En 31 ocasiones se mostró una promoción de McAfee
    • En la ocasión restante se promocionó una de las utilidades de monitores propias de LG
  • El popup de McAfee ofrecía una prueba gratuita de 30 días, con la condición de pasar luego a una suscripción de pago

Comportamiento que llega también a monitores antiguos

  • La instalación automática no se limita a pantallas recién compradas
    • El popup también apareció en un LG UltraFine 32UN880-B comprado hace 3 años
    • Las quejas de usuarios relacionadas con LG Monitor App Installer se remontan al menos a 2024
  • El aumento reciente de reportes coincide con la posibilidad de que más modelos hayan empezado a recibir la app, pero no se ha confirmado el alcance exacto de los modelos afectados
  • Microsoft Store enumera entre las funciones de la app el acceso a internet y a todos los recursos del sistema
  • El alcance cubierto por los documentos de privacidad de LG también fue motivo de preocupación para Gamers Nexus

Método similar confirmado también en Dell

  • El método de detectar un dispositivo y luego distribuir software automáticamente mediante Windows Update no se limita a LG
  • Dell también distribuye Alienware Command Center cuando Windows detecta un monitor o periférico Alienware compatible
  • En un caso en el que se conectó un monitor Alienware nuevo por DisplayPort, la instalación de la aplicación también se ejecutó repetidamente y tuvo que bloquearse con la misma directiva de grupo de Windows

Bloqueo mediante directiva de grupo de Windows

  • En Computer Configuration → Administrative Templates → System → Device Installation, se puede habilitar la política “Prevent automatic download of applications associated with device metadata”
  • Al aplicar esta política, Windows no descarga automáticamente aplicaciones asociadas al hardware conectado
  • Es posible que tampoco se instalen las utilidades necesarias para monitores y periféricos, por lo que tal vez haya que descargar ese software manualmente

Lecturas relacionadas

4 comentarios

 
euphcat 18 시간 전

Hasta los controladores esenciales se entiende, ¿pero por qué Windows Update instala arbitrariamente una utilidad del fabricante?!
 
twiddlingguidable 17 시간 전

https://reddit.com/r/MicrosoftEdge/… Me pasa mucho esto cada vez que uso Windows, así que simplemente ya lo tomo como algo normal...
 
aigirlfriend 17 시간 전

Parece que les dio envidia que los fabricantes de motherboards obligaran a instalar bloatware.
 
GN⁺ 1 일 전
Opiniones de Hacker News

  • Es mucho más grave de lo que sugiere el título. El sistema operativo instala en segundo plano software de un fabricante externo sin intervención del usuario, y puede ejecutarse apenas alguien conecta un dispositivo HDMI.
    Este software tiene acceso a Internet y a todo el sistema, no está en sandbox y se inicia en cada arranque. Es difícil encontrar un precedente, ya que esto se amplió no solo a monitores LG nuevos, sino también a modelos antiguos ya conectados y a modelos profesionales.
    GamersNexus analizó en detalle la conducta de LG: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Los fabricantes de impresoras, mouse y tabletas han usado esta función para meter software empaquetado innecesario al menos desde la época de Windows Vista o Windows 7. Al conectar un mouse Razer, se descargaba de inmediato un software de 1.5 GB, y funciones de telemetría incluso enviaban datos de la PC gamer al exterior en tiempo real.
      Microsoft tiene medios para bloquear a los fabricantes, pero no lo impide. Empresas como Razer quizá ya estén más cerca de ser compañías de marketing y datos que de hardware.
    • Microsoft ha permitido este tipo de prácticas durante décadas, así que no es un problema nuevo. Esta vez, el software de LG quedó expuesto de forma mucho más descarada que las instalaciones automáticas anteriores, y por eso aumentó el rechazo de los usuarios.
      Es difícil entender por qué Microsoft lo permite y lo habilita; parece haber perdido el sentido de cómo crear productos centrados en el usuario.
    • Hace unos años, al conectar un mouse USB de Razer, Windows descargaba y ejecutaba un instalador, y el usuario actual podía iniciar PowerShell con privilegios de administrador desde ese programa. Razer al principio intentó minimizarlo, pero luego lo corrigió.
      USB no tiene autenticación; solo tiene VendorID y ProductID de 16 bits, que Windows usa para buscar paquetes de drivers. Es sencillo hacer que un MCU use IDs arbitrarios, y también podría parecer inicialmente un dispositivo normal para luego desconectarse según un temporizador o una señal externa y volver a conectarse haciéndose pasar por otro dispositivo.
      https://arstechnica.com/information-technology/2021/08/need-...
    • Windows puede descargar automáticamente drivers recomendados para el hardware conectado mediante Windows Update: https://support.microsoft.com/en-us/windows/hardware/drivers...
      Incluso hace 8 años, aunque se desactivara la descarga automática de apps del fabricante, se borraran los drivers y se reiniciara, todo se reinstalaba en unos 2 minutos; además, había un problema por el que se instalaba incluso Nvidia 388.1, una versión más antigua que la más reciente de entonces: https://www.reddit.com/r/Windows10/comments/8tlre3/why_is_it...
    • Ahora es difícil llegar a otra conclusión que no sea que Windows en sí es software malicioso. Me alegra no haber usado Windows en más de 10 años.

  • La forma de bloquear la instalación automática es activar en gpedit.msc la opción Computer Configuration > Administrative Templates > System > Device Installation > Prevent automatic download of applications associated with device metadata.
    En la edición Home, que no tiene gpedit.msc, se puede entrar a Hardware > Device Installation Settings desde sysdm.cpl, elegir No en la pregunta sobre descargar automáticamente apps del fabricante y guardar.

    • gpedit.msc no viene incluido por defecto en Windows Home; solo hay métodos no oficiales para agregarlo. Se le exige demasiado trabajo al usuario para esquivar un problema que, para empezar, no debería existir.
      Microsoft tiene que intervenir, y esto no puede aceptarse como un requisito normal para usar sus productos.
    • Si alguien puede encontrar y aplicar esta configuración, entonces es lo bastante técnico para un consumidor común como para instalar Linux. La mayoría no descubrirá este método y ni siquiera entenderá que el software de LG es spyware.
    • Incluso con esta opción desactivada, había un mouse que instalaba drivers cada vez que se conectaba. Windows almacenaba en caché en el Driver Store los drivers descargados automáticamente y los reinstalaba al conectar el dispositivo, por lo que el software innecesario seguía volviendo. Me pregunto si eso todavía ocurre.
    • Me pasó lo mismo con un monitor Alienware, pero en Linux no ocurre.

  • Si asumimos que Microsoft no recibe una parte de los ingresos, puede ser más efectivo presionar a Microsoft que a LG. Microsoft decide qué se instala, y por ahora parece confiar en que los fabricantes de hardware proporcionan software adecuado.
    En especial, si grandes clientes empresariales protestan, la política podría endurecerse, y a LG se le podría avisar que perderá sus permisos de actualización si reincide. LG, que ya vendió sus productos, sabe que la promesa de boicotear la próxima compra puede diluirse, pero Microsoft negocia grandes contratos todos los días, así que si esto queda registrado como un obstáculo comercial tendrá más incentivos para responder.

    • Muchas empresas desactivan Windows Update y solo permiten elementos que pasaron por un sistema interno de Windows Update. La falta de actualizaciones también puede ser contraproducente; de hecho, hubo problemas porque no se distribuyó el driver más reciente de Intel Wi-Fi.
      Es probable que las empresas no vean estas instalaciones automáticas y por eso no protesten; además, ya están acostumbradas a los problemas generales de calidad de Windows.
    • Ya es hora de criticar esa actitud de exigir firma para todo antes de ejecutarlo, pero no asumir ninguna responsabilidad y, cuando surge un problema, culpar a lo que hizo la computadora.
    • Un driver debe cumplir solo la función de driver. Los fabricantes meten el software que quieren solo porque funciona, y como la mayoría de las quejas las recibe Microsoft, Microsoft debe hacerse responsable.

  • No es que el monitor en sí instale software en la computadora, sino que Windows lo instala automáticamente, así que Microsoft tiene responsabilidad. Puede verse como una falla de seguridad similar al problema de ejecutar automáticamente software malicioso al conectar una unidad USB.

    • La responsabilidad no es solo de Microsoft, sino también de LG; Microsoft fue quien hizo posible esto.
    • AutoRun ejecutaba archivos en USB sin ninguna verificación, pero este caso es distinto. Se instaló un driver proporcionado por una empresa lo bastante confiable como para pasar la firma y verificación de Microsoft, y LG violó esa confianza.
    • La responsabilidad es de Microsoft y LG por igual.
    • Los monitores modernos también se conectan por USB, así que podrían hacerse pasar por un teclado o mouse e inducir realmente la instalación de software. Cuesta creer que estas empresas no harían algo así.

  • Windows necesita reformar urgentemente su modelo de consentimiento para drivers. No se puede bloquear un driver específico, así que aunque en Lenovo instale el driver de pantalla táctil 7.7.2.66, al día siguiente Windows lo revierte a 7.7.2.44.
    El enlace a la versión más reciente es https://pcsupport.lenovo.com/us/en/products/laptops-and-netb....
    Aunque se oculte la actualización en PowerShell, no tiene número KB, así que no se filtra, y ejecutar get-windowsupdate -isHidden | ft Status,KB,Size,Title también tarda más de 20 segundos.

  • Este tipo de software malicioso seguirá existiendo hasta que sea ilegalizado por leyes de privacidad. Si solo se exige consentimiento, las empresas simplemente asumirán que uno leyó unos términos de uso de 1.8PiB, podrán cambiar las cláusulas cuando quieran y agregarán texto diciendo que es difícil demandarlas por el arbitraje obligatorio.
    También es un problema que Microsoft y Windows hayan acostumbrado a los usuarios a creer que incluso los periféricos que usan protocolos estándar necesitan drivers. Un monitor solo recibe píxeles y los muestra, así que no necesita un driver aparte.

    • Si una persona hiciera lo mismo, sin duda terminaría en la cárcel.

  • El video de Gamers Nexus vale mucho la pena: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Me pregunto si el entorno de productos LG es muy distinto entre Europa y Estados Unidos. En el monitor LG y el televisor LG OLED que compré y uso en España no hay ningún anuncio, pero en internet hay muchas quejas sobre los anuncios en pantallas LG.
      No pienso arrancar Windows hasta que se resuelva este problema de software malicioso, y parece que los usuarios de EE. UU. reciben más anuncios.

  • Agrego a LG a mi lista de no comprar, junto con EA y Blizzard Entertainment. No puedo cambiar la empresa ni sus políticas, pero sí puedo no comprarles.

  • Antes a estas cosas se les llamaba spyware o software malicioso, pero ahora se volvieron una práctica cotidiana para los equipos de ingeniería y gerentes de las grandes empresas.

    • La FTC define el software malicioso como software dañino que se instala en un dispositivo sin que el usuario lo sepa. El monitor LG instala software a escondidas, ralentiza el sistema e interrumpe el trabajo con anuncios, así que hay que seguir llamándolo software malicioso.
    • Si no es software malicioso, me pregunto cómo habría que llamarlo hoy.
    • No es algo nuevo. En los últimos 15 años, simplemente el software malicioso, publicitario y spyware fue más común en navegadores y apps móviles que en instaladores de Windows alterados.
    • Es poco probable que un gerente de un equipo de ingeniería de bajo nivel haya tomado una decisión así. Es más probable que el área de marketing o alianzas haya creado la idea y se la haya propuesto a la alta dirección.
      Cuesta entender por qué alguien esperaría que algún gerente intermedio, en alguna parte, frenara algo así.

  • No entiendo por qué en varias plataformas tratan de exageradas a las personas que se preocupan por este problema. Es spyware evidente que se instala apenas conectas el dispositivo, una práctica basura parecida a cuando el DRM de los DVD de Sony instalaba spyware.

    • Si imaginas que un colega hiciera algo así, la gravedad queda clarísima.