Dzień, w którym Sony przesadziło. 15 lat temu odkryto rootkita DRM XCP

Udostępnij:

O autorze

Kamil J. Dudek

@wielkipiec

Ostatniego dnia października 2005, Mark Russinovich, jeden z czołowych badaczy systemu Windows oraz twórca zbioru narzędzi Sysinternals, opublikował na swoim blogu w przestrzeni Technet pewien doniosły artykuł. Początkowo chcąc jedynie ogłosić powstanie nowej wersji narzędzia RootkitRevealer, Russinovich zmienił plany i zamiast tego opisał odkrycie, jakiego dokonał z jego użyciem. Udało mu się odnaleźć na swoim komputerze oprogramowanie po cichu zainstalowane przez Sony.

W jego kopii systemu Windows XP pracował niewidoczny program, ukrywający przed systemowym API katalog "$sys$filesystem", pełen sterowników i bibliotek. Aby ukryć się przed API, konieczne jest zainstalowanie pośrednika w jądrze systemu. Ma on na celu przechwytywanie żądań i przekierowywanie ich do dedykowanych, a nie systemowych usług. Zazwyczaj te dedykowane usługi wywołują właściwe funkcje systemowe, ale robią to później. Wcześniej uruchamiają swoją część, a system "myśli", że nic takiego nie miało nawet miejsca.

Trojan w wersji konsumenckiej

Takie zachowanie jest z definicji złośliwe. Niskopoziomowe przechwytywanie wywołań systemowych celem wstrzyknięcia własnych metod uruchamianych z maksymalnymi prawami narusza model bezpieczeństwa. Programy, które się tak zachowują, nazywa się rootkitami. Początkowo Mark myślał, że złapał wirusa. Rzeczywistość była jednak ciekawsza.

2005: Winternals researcher Mark Russinovich posted to his blog a detailed description and technical analysis of F4I's XCP software that he ascertained had been recently installed on his computer by a Sony BMG music CD. https://t.co/DtlaHSvGqJ pic.twitter.com/Mm633sHbcL

— Today In Infosec (@todayininfosec) October 31, 2020

Po zidentyfikowaniu przeładowanej funkcji oraz biblioteki wstawionej w jej miejsce, autor RootkitRevealera rozpoczął jej debugowanie. Złośliwy kod zajmował się ukrywaniem widoczności wszystkich plików i procesów, których nazwy zaczynały się od "$sys$". Zdjąwszy blokadę, Russinovich oczekiwał odkrycia jakiegoś zaawansowanego malware'u. Zamiast tego natknął się na poprawnie zbudowane, podpisane cyfrowo i niezaciemnione biblioteki. Pochodzące z płyty z muzyką wydanej przez Sony.

DRM Sony

Znajdujące się w ukrytym katalogu oprogramowanie zajmowało się kontrolą wymiany informacji między napędem CD a procesami. Pracująca w tle usługa odpytywała w ciągłej pętli wszystkie uruchomione programy w poszukiwaniu znanych kopiarek i łączyła się z internetem. Została nazwana "Plug and Play Device Manager", co również było nieczystą i mylącą zagrywką. Program spełniał wszytkie kryteria, by nazwać go wirusem, a w dodatku stanowił zagrożenie bezpieczeństwa. Co gorsza, jego usunięcie kończyło się uszkodzeniem obsługi napędów optycznych.

O sprawie zrobiło się głośno nie tylko wskutek odkrycia Russinovicha, ale także (oczywiście) ze względu na awarie. Sony ogłosił co prawda, że wprowadzi narzędzia DRM, ale nie podano żadnych szczegółów. Okazało się, że za stworzenie narzędzia odpowiadać miała firma First 4 Internet (dziś Fortium) i opracowane rozwiązanie nosiło nazwę Extended Copy Protection. Ale była to informacja dostępna najwyżej w przypisach do notatek prasowych.

Wymuszone przeprosiny

Dopiero dziwny ruch DNS, niebieskie ekrany, zniknięcia napędów DVD i raporty ekspertów sprawiły, że ktokolwiek się dowiedział o XCP. Microsoft i F-Secure uznały program za szkodliwy i program MSRT został zaopatrzony w mechanizm do jego usunięcia. Sprawą zajęła się EFF, a Sony w końcu został zmuszony, także z powodów wizerunkowych, do usunięcia narzędzia ze swoich płyt.

Zastąpiono je jednak innym programem do DRM. Menedżerowie z Sony nie mogli się pogodzić ze scenariuszem całkowitego usunięcia kontroli treści. W związku z tym, do płyt CD Audio dołączali... własny odtwarzacz (dało się użyć innego).

Dziś wytwórnie mają łatwiej: popularność fizycznych nośników spada, a treści są sprzedawane nie tylko w postaci czysto cyfrowej, ale także abonamentowej. Niewiele nam dziś więc z tego, że patchowanie jądra 64-bitowych Windowsów jest dziś już niemożliwe.