Monitor LG memasang perangkat lunak lewat Windows Update tanpa persetujuan pengguna

 (videocardz.com)
3 poin oleh GN⁺ 1 hari lalu | 4 komentar | Bagikan ke WhatsApp
  • Saat beberapa monitor LG dihubungkan ke PC Windows, LG Monitor App Installer terpasang otomatis dan mempromosikan langganan McAfee, tanpa menyediakan proses persetujuan pengguna
  • Setelah Windows Update memasang paket ekstensi LG dan paket komponen perangkat lunak, sekitar 1 menit kemudian pemasangan aplikasi dimulai, tanpa jendela persetujuan atau izin unduhan
  • Saat Gamers Nexus melakukan boot beruntun 32 kali dengan LG UltraGear 34GX900A-B, iklan McAfee muncul 31 kali, dan 1 kali sisanya mempromosikan utilitas monitor LG
  • Popup juga muncul pada LG UltraFine 32UN880-B yang dibeli 3 tahun lalu, dan keluhan terkait telah berlanjut setidaknya sejak 2024, sehingga perilaku ini tidak terbatas pada produk baru saja
  • Dengan Group Policy Windows, unduhan otomatis aplikasi yang terkait dengan perangkat bisa diblokir, tetapi perangkat lunak monitor/periferal yang diperlukan juga mungkin harus dipasang secara manual

Pemasangan otomatis tanpa persetujuan pengguna

  • Saat beberapa monitor LG dihubungkan ke PC Windows, perangkat lunak yang mempromosikan langganan McAfee bisa terpasang otomatis
  • Setelah menerima laporan dari pemilik monitor, Gamers Nexus berhasil mereproduksi perilaku yang sama pada LG UltraGear 34GX900A-B
  • Windows Update terlebih dahulu memasang paket ekstensi LG dan paket komponen perangkat lunak
    • Di Windows Reliability Monitor, LG Monitor App Installer muncul sekitar 1 menit kemudian
    • Tidak ada jendela persetujuan dalam proses pemasangan, dan pengguna juga tidak perlu menyetujui unduhan

Promosi McAfee yang berulang

  • Gamers Nexus menguji aplikasi tersebut dengan 32 kali boot beruntun
    • Pada 31 kali, promosi McAfee ditampilkan
    • Pada 1 kali sisanya, salah satu utilitas monitor milik LG sendiri yang dipromosikan
  • Popup McAfee menawarkan uji coba gratis 30 hari, lalu beralih ke langganan berbayar

Perilaku ini juga berlanjut pada monitor lama

  • Pemasangan otomatis ini tidak terbatas hanya pada layar yang baru dibeli
    • Popup juga muncul pada LG UltraFine 32UN880-B yang dibeli 3 tahun lalu
    • Keluhan pengguna terkait LG Monitor App Installer setidaknya bisa ditelusuri hingga 2024
  • Peningkatan laporan belakangan ini sejalan dengan kemungkinan lebih banyak model mulai menerima aplikasi tersebut, tetapi cakupan model yang terdampak secara pasti belum dikonfirmasi
  • Microsoft Store mencantumkan kemampuan aplikasi tersebut untuk mengakses internet dan semua sumber daya sistem
  • Cakupan dokumen privasi LG juga menjadi perhatian bagi Gamers Nexus

Metode serupa juga ditemukan pada Dell

  • Cara mendeteksi perangkat lalu otomatis mendistribusikan perangkat lunak lewat Windows Update tidak terbatas pada LG saja
  • Dell juga mendistribusikan Alienware Command Center saat Windows mendeteksi monitor atau periferal Alienware yang kompatibel
  • Dalam kasus monitor Alienware baru yang dihubungkan lewat DisplayPort, pemasangan aplikasi juga berjalan berulang kali dan harus diblokir dengan Group Policy Windows yang sama

Memblokir dengan Group Policy Windows

  • Di Computer Configuration → Administrative Templates → System → Device Installation, kebijakan “Prevent automatic download of applications associated with device metadata” dapat diaktifkan
  • Jika kebijakan ini diterapkan, Windows tidak akan bisa mengunduh otomatis aplikasi yang terkait dengan perangkat keras yang terhubung
  • Karena utilitas monitor/periferal yang diperlukan juga mungkin tidak ikut terpasang, perangkat lunak tersebut mungkin perlu diunduh secara manual

Bacaan terkait

4 komentar

 
euphcat 18 jam lalu

Kalau sampai driver wajib sih masih masuk akal, tapi kenapa Windows Update seenaknya menginstal utilitas pabrikan?!
 
twiddlingguidable 17 jam lalu

https://reddit.com/r/MicrosoftEdge/… Saya sering mengalami hal seperti ini setiap kali memakai Windows, jadi sekarang saya anggap biasa saja..
 
aigirlfriend 16 jam lalu

Sepertinya mereka iri karena produsen motherboard memaksakan bloatware.
 
GN⁺ 1 hari lalu
Opini Hacker News

  • Ini jauh lebih serius daripada judulnya. Sistem operasi memasang perangkat lunak produsen pihak ketiga di latar belakang tanpa tindakan pengguna, dan bisa langsung dijalankan begitu siapa pun menghubungkan perangkat HDMI
    Perangkat lunak ini memiliki akses ke internet dan seluruh sistem, tanpa sandbox, dan mulai berjalan setiap kali boot. Sulit menemukan preseden karena ini tidak hanya diterapkan pada monitor LG baru, tetapi juga diperluas ke model lama yang sudah terhubung serta model profesional
    GamersNexus menganalisis tindakan LG secara rinci: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Produsen printer, mouse, dan tablet setidaknya sejak era Windows Vista atau Windows 7 telah menggunakan fitur ini untuk mendorong perangkat lunak bundel yang tidak perlu. Saat mouse Razer dihubungkan, perangkat lunak 1,5 GB langsung diunduh, dan fitur telemetrinya bahkan mengirim data dari PC gaming ke luar secara real-time
      Microsoft punya cara untuk memblokir produsen, tetapi tidak melakukannya. Perusahaan seperti Razer sekarang mungkin lebih mirip perusahaan pemasaran dan data daripada perusahaan perangkat keras
    • Microsoft telah mengizinkan praktik seperti ini selama puluhan tahun, jadi ini bukan masalah baru. Kali ini saja perangkat lunak LG terlihat jauh lebih terang-terangan dibanding instalasi otomatis sebelumnya, sehingga reaksi penolakan pengguna menjadi lebih besar
      Sulit memahami mengapa Microsoft mengizinkan dan mengaktifkan hal ini; mereka tampak sudah kehilangan kepekaan dalam membuat produk yang berpusat pada pengguna
    • Beberapa tahun lalu, saat mouse USB Razer dihubungkan, Windows mengunduh dan menjalankan installer, dan pengguna saat ini bisa memulai PowerShell dengan hak administrator dari program tersebut. Razer awalnya mencoba mengecilkan masalahnya, tetapi kemudian memperbaikinya
      USB tidak memiliki autentikasi, hanya VendorID dan ProductID 16-bit yang digunakan Windows untuk mencari paket driver. Membuat MCU menggunakan ID arbitrer itu mudah, dan perangkat juga bisa awalnya tampak seperti perangkat normal, lalu berdasarkan timer atau sinyal eksternal memutus koneksi dan menyambung kembali dengan menyamar sebagai perangkat lain
      https://arstechnica.com/information-technology/2021/08/need-...
    • Windows dapat mengunduh otomatis driver yang direkomendasikan untuk perangkat keras yang terhubung melalui Windows Update: https://support.microsoft.com/en-us/windows/hardware/drivers...
      Bahkan 8 tahun lalu, meski pengunduhan otomatis aplikasi produsen dimatikan, driver dihapus, lalu sistem di-reboot, semuanya terpasang kembali dalam sekitar 2 menit. Saat itu juga ada masalah Windows memasang Nvidia 388.1 yang lebih lama daripada versi terbaru: https://www.reddit.com/r/Windows10/comments/8tlre3/why_is_it...
    • Kini sulit mengambil kesimpulan selain bahwa Windows itu sendiri adalah malware. Syukurlah saya sudah tidak memakai Windows selama lebih dari 10 tahun

  • Cara memblokir instalasi otomatis adalah mengaktifkan Computer Configuration > Administrative Templates > System > Device Installation > Prevent automatic download of applications associated with device metadata di gpedit.msc
    Pada edisi Home yang tidak memiliki gpedit.msc, buka Hardware > Device Installation Settings di sysdm.cpl, pilih No pada pertanyaan tentang pengunduhan otomatis aplikasi produsen, lalu simpan

    • gpedit.msc tidak disertakan secara default di Windows Home, dan hanya ada cara tidak resmi untuk menambahkannya. Ini menuntut terlalu banyak pekerjaan dari pengguna hanya untuk mengakali masalah yang seharusnya sejak awal tidak ada
      Microsoft harus turun tangan, dan ini tidak bisa diterima sebagai persyaratan normal untuk memakai produk mereka
    • Jika seseorang bisa menemukan dan menerapkan pengaturan seperti ini, tingkat teknisnya bagi konsumen umum sudah setara dengan mampu memasang Linux. Kebanyakan orang tidak akan menemukan cara ini dan bahkan tidak akan memahami bahwa perangkat lunak LG adalah spyware
    • Meski pengaturan ini dimatikan, pernah ada mouse yang memasang driver setiap kali dihubungkan. Windows men-cache driver yang diunduh otomatis di Driver Store lalu memasangnya ulang saat perangkat tersambung, sehingga perangkat lunak yang tidak perlu terus kembali; saya penasaran apakah sekarang masih begitu
    • Saya mengalami hal yang sama pada monitor Alienware, tetapi tidak terjadi di Linux

  • Dengan asumsi Microsoft tidak menerima bagi hasil, mungkin lebih efektif menekan Microsoft daripada LG. Microsoftlah yang menentukan apa yang dipasang, dan saat ini tampaknya mereka percaya bahwa produsen perangkat keras menyediakan perangkat lunak yang sesuai
    Terutama jika pelanggan korporat besar menolak, kebijakan bisa diperketat, dan LG dapat diberi tahu bahwa hak pembaruannya akan dicabut jika hal ini terulang. LG yang sudah menjual produknya tahu bahwa janji boikot pada pembelian berikutnya bisa memudar, tetapi Microsoft menegosiasikan kontrak besar setiap hari, jadi jika ini tercatat sebagai hambatan penjualan, mereka punya insentif untuk merespons

    • Banyak perusahaan mematikan Windows Update dan hanya mengizinkan item yang melewati sistem Windows Update internal. Pembaruan yang terlewat kadang berdampak sebaliknya; benar-benar pernah terjadi masalah karena driver Intel Wi-Fi terbaru tidak didistribusikan
      Perusahaan kemungkinan besar tidak akan melihat instalasi otomatis seperti ini sehingga tidak akan protes, dan mereka juga sudah terbiasa dengan masalah kualitas Windows secara umum
    • Kita sekarang harus mengkritik sikap yang menuntut semua hal ditandatangani sebelum dijalankan, tetapi tidak memikul tanggung jawab apa pun, lalu saat masalah terjadi menyalahkan apa yang dilakukan komputer
    • Driver seharusnya hanya berperan sebagai driver. Produsen memasukkan perangkat lunak apa pun yang mereka mau dengan alasan itu berfungsi, sementara sebagian besar keluhan diterima Microsoft; karena itu Microsoft harus bertanggung jawab

  • Bukan monitornya sendiri yang memasang perangkat lunak di komputer, melainkan Windows yang memasangnya secara otomatis, jadi Microsoft bertanggung jawab. Ini bisa dianggap sebagai celah keamanan yang mirip dengan masalah saat perangkat lunak berbahaya dijalankan otomatis ketika drive USB terhubung

    • Bukan hanya Microsoft, LG juga bertanggung jawab, sementara Microsoft adalah pihak yang memungkinkan hal ini terjadi
    • AutoRun menjalankan file di USB tanpa verifikasi apa pun, tetapi kasus ini berbeda. Yang dipasang adalah driver dari perusahaan yang cukup dipercaya hingga lolos tanda tangan dan verifikasi Microsoft, dan LG telah melanggar kepercayaan itu
    • Tanggung jawab ada pada Microsoft dan LG sekaligus
    • Monitor modern juga terhubung lewat USB, jadi secara teori bisa menyamar sebagai keyboard atau mouse dan benar-benar mendorong pemasangan perangkat lunak. Sulit percaya perusahaan seperti ini tidak akan melakukannya

  • Windows perlu segera merombak model persetujuan driver. Tidak ada cara untuk memblokir satu driver tertentu saja; meski memasang driver layar sentuh 7.7.2.66 dari Lenovo, keesokan harinya Windows mengembalikannya ke 7.7.2.44
    Tautan versi terbaru adalah https://pcsupport.lenovo.com/us/en/products/laptops-and-netb...
    Meski pembaruan disembunyikan di PowerShell, karena tidak ada nomor KB, pembaruan itu tidak bisa difilter; menjalankan get-windowsupdate -isHidden | ft Status,KB,Size,Title pun memakan waktu lebih dari 20 detik

  • Perangkat lunak berbahaya seperti ini akan terus ada sampai dilarang oleh undang-undang perlindungan data pribadi. Jika cukup meminta persetujuan, perusahaan hanya akan memasukkan kalimat bahwa pengguna dianggap sudah membaca syarat penggunaan sebesar 1,8 PiB, ketentuannya bisa diubah kapan saja, dan gugatan sulit dilakukan karena arbitrase wajib
    Masalahnya juga Microsoft dan Windows telah membiasakan pengguna bahwa periferal yang memakai protokol standar pun membutuhkan driver. Monitor hanya menerima piksel dan menampilkannya, jadi tidak membutuhkan driver terpisah

    • Jika individu melakukan hal yang sama, jelas ia akan masuk penjara

  • Video Gamers Nexus sangat layak ditonton: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • Saya penasaran apakah lingkungan produk LG di Eropa dan AS sangat berbeda. Monitor LG dan TV LG OLED yang dibeli dan digunakan di Spanyol sama sekali tidak menampilkan iklan, tetapi di internet banyak keluhan tentang iklan pada display LG
      Saya tidak berniat mem-boot Windows sampai masalah perangkat lunak berbahaya ini diselesaikan, dan tampaknya pengguna AS menerima lebih banyak iklan

  • Saya menambahkan LG ke daftar larangan beli bersama EA dan Blizzard Entertainment. Saya mungkin tidak bisa mengubah perusahaan atau kebijakannya, tetapi saya bisa memilih untuk tidak membeli

  • Dulu hal seperti ini disebut spyware atau perangkat lunak berbahaya, tetapi kini menjadi praktik sehari-hari bagi tim engineering dan manajer di perusahaan besar

    • FTC mendefinisikan perangkat lunak berbahaya sebagai perangkat lunak merugikan yang dipasang di perangkat tanpa sepengetahuan pengguna. Monitor LG memasang perangkat lunak secara diam-diam, memperlambat sistem, dan mengganggu pekerjaan dengan iklan, jadi kita harus terus menyebutnya perangkat lunak berbahaya
    • Jika ini bukan perangkat lunak berbahaya, entah apa sebutannya pada masa sekarang
    • Ini bukan hal baru. Selama 15 tahun terakhir, malware, adware, dan spyware hanya lebih sering muncul di browser dan aplikasi mobile daripada di installer Windows yang dimodifikasi
    • Kecil kemungkinan manajer tim engineering tingkat bawah yang mengambil keputusan seperti ini. Lebih mungkin departemen marketing atau kemitraan yang membuat idenya lalu mengusulkannya ke eksekutif senior
      Sulit memahami mengapa ada yang berharap seorang manajer menengah di suatu tempat akan menghentikan hal seperti ini

  • Saya tidak mengerti mengapa di berbagai platform orang yang mengkhawatirkan masalah ini dianggap berlebihan. Ini adalah spyware yang jelas-jelas dipasang begitu perangkat terhubung, tindakan sampah yang mirip dengan DRM DVD Sony dulu yang memasang spyware

    • Bayangkan jika seorang rekan kerja melakukan hal seperti ini; tingkat keseriusannya akan terlihat jelas