Mjukvara som tar upp alldeles för mycket minne och gör datorerna långsamma är mer regel än undantag. Men bloatware är inte bara ett irritationsmoment utan kan också vara en säkerhetsrisk, varnar forskare från säkerhetsföretaget Duo security. Och inte ens de stora tillverkarna kommer undan.

Deras experter har testat den förinstallerade mjukvaran hos fem av de största pc-tillverkarna: Acer, Asus, Lenovo, Dell och HP. Samtliga innehöll minst ett allvarligt säkerhetshål. Brister som kan öppna upp för attacker och göra det möjligt för hackare att helt eller delvis kontrollera systemet.

I de allra flesta fallen handlade det om programmen inte körs med krypterade http-kopplingar när de letar efter uppdateringar. Dessutom kom i vissa fall ingen bekrätftelse på att nedladdningen signerats digitalt av tillverkaren.

Läs också: Fail! Lenovos fildelningsapp har ett hårdkodat lösenord som är busenkelt att gissa

Brister på kryptering i kommunikationen mellan uppdateringsverktyget och tillverkaren gör att hackare kan fånga upp förfrågningar och smyga in skadlig kod. Det som också går under namnet man-in-the-middle-attack. Allt detta kan dessutom genomföras av hackare utan några specifika eller sofistikerade kunskaper. Brister är enligt rapporten tämligen lätta att komma åt.

Skillnaderna mellan hur uppdateringsverktygen fungerade skiljde sig åt, inte bara mellan tillverkarna. Utan också inom samma system. I vissa fall hade tillverkaren olika verktyg sin laddare ner uppdateringar från olika källor men helt olika säkerhetsnivåer, rapporterar IDG News.

I närminnet ligger Superfish och attacken mot Lenovo som uppdagades i februari 2015. Programmet som kom förinstallerat på datorerna och som experter menade var att jämställa med ett spionprogram. Superfish användes för att styra vilka annonser användarna såg. Men öppnade samtidigt för attacker på krypterad trafik.

Rapporten visar att kontroverserna kring Superfish bara är ett exempel, än ett extremt sådant, på ett större problem med förinstallerad mjukvara. Mjukvarumarknaden är komplicerad och listan över överflödiga verktyg är deprimerande läsnings säger säkerhetsföretagets experter.

”Vissa applikationer gör inte mer nytta än att lägga till en genväg för att starta din webbläsare till en specifik sajt”, skriver de i rapporten.

Läs också: Ännu fler inbyggda säkerhetsrisker – nu i datorer från Lenovo, Dell och Toshiba

Just Lenovo visade sig ha ett av de bästa uppdateringsverktygen som skyddade mot inte minst mannen-i-mitten-attacker. Vilket användarana kansek kan tacka de tidigare upptäckerna för. Men å andra sidan hade deras Update agent inga som helst säkerhetsskydd och ett av de sämsta som säkerhetsföretaget testat.

Även Dell hade ett mycket välbyggt uppdateringsprogam, Dell Update och tillägget Dell Foundation services. Om det inte vore för allvarliga problem hos det självsignerade cerfitikatet eDellRoot.

Totalt har tolv säkerhetsbrister hittats. Ingen av företagen har än så länge kommenterat företagets rapport.