Sony BMG скрывала в защите дисков руткит с чужим пиратским кодом

Руссинович проверял свежую версию RootkitRevealer на собственной машине и обнаружил руткит, которого сам не ставил. Виновником оказался компакт-диск Sony BMG, купленный на Amazon. Sony BMG на тот момент была вторым по величине лейблом в мире, а руткит был размещён на диске сознательно как часть защиты от копирования.

Через пару недель выяснилось, что внутри защиты лежат куски чужих open source проектов, взятые без соблюдения лицензий. Среди них оказалась функция из программы для снятия DRM с песен из iTunes.

Как работал руткит

Драйвер Aries.sys скрывал любой файл, каталог, ключ реестра или процесс, имя которого начиналось с $sys$. Программа была создана британской First 4 Internet и работала через технологию XCP, Extended Copy Protection. Процесс $sys$DRMServer.exe продолжал нагружать процессор даже после закрытия плеера, перебирая исполняемые файлы запущенных программ каждые 2 секунды.

Драйвер проверял только имя вызывающего процесса, поэтому прятаться за префиксом $sys$ мог любой код. Стабильности системе руткит тоже не добавлял: программа с неверным указателем могла вызвать синий экран.

Разбор и последствия

Разбор Руссиновича был опубликован в блоге 31 октября 2005 года. Вскоре Sophos описала троян Stinx-E, который копировал себя в файл $sys$drv.exe и скрывался на компьютерах с XCP. Дэн Камински, опросив более 3 миллионов DNS-серверов, получил 568 200 утвердительных ответов, что указывает на масштаб заражённых сетей, хотя точное число компьютеров остаётся неизвестным.

Первая реакция Sony BMG была сдержанной: президент глобального цифрового бизнеса Томас Хессе сказал в эфире NPR, что большинство людей, как ему кажется, даже не знают, что такое руткит.