Extended Copy Protection (XCP, Расширенная Защита от Копирования) — это пакет программ, который разрабатывала британская компания First 4 Internet (сменившая 20 ноября 2006 название на Fortium Technologies Ltd) и который она продавала как схему защиты от копирования или как управления цифровыми правами (, DRM) для компакт-дисков. XCP использовался для некоторых CD, распространяемых Sony BMG и разжёг в 2005 году Sony BMG CD скандал с защитой от копирования, который в этом контексте известен также как Sony rootkit.
Исследователи безопасности, начиная с Марка Руссиновича в октябре 2005 года описывали программу как функционально идентичную руткиту — программу, используемую злоумышленниками для сокрытия несанкционированных действий в системе. Руссинович сообщил об этом в своем блоге Sysinternals, что привлекло внимание СМИ и других исследователей. В конечном итоге это привело к гражданскому иску и уголовным расследованиям, которые вынудили Sony прекратить использование этой системы.
Несмотря на то, что Sony в конечном итоге отозвала компакт-диски, содержащие систему XCP, веб-деинсталлятор привлек внимание известных исследователей безопасности и , которые заявили, что компонент ActiveX, использовавшийся для удаления программного обеспечения, подвергал пользователей гораздо более серьезным рискам безопасности, включая исполнение произвольного кода с веб-сайта.
Описание Версия этого программного обеспечения, используемое на дисках Sony CD, называется XCP-Aurora. При первой попытке воспроизвести такой диск в системе Windows пользователю предлагается принять лицензионное пользовательское соглашение (, EULA).Если пользователь соглашается, программа устанавливается, в противном случае диск извлекается. В EULA не было указано, что устанавливается скрытое программное обеспечение. Затем программа остается в системе пользователя, перехватывая все обращения к CD-приводу, чтобы предотвратить доступ любого другого программного обеспечения для воспроизведения музыки или копирования, кроме того, что входит в комплект XCP-Aurora, к музыкальным трекам диска Sony. Попытка удалить программное обеспечение путем ручного удаления связанных файлов приведет к неработоспособности CD-привода из-за изменений в настройках реестра, внесённых программой. Однако вскоре было обнаружено, что программное обеспечение можно легко обойти, просто нарисовав перманентным маркером темную кайму по краю диска.
Исследования безопасности После публикации Марком Руссиновичем своего исследования другие специалисты по безопасности оперативно опубликовали собственные анализы. Многие из выводов были резко критичны в отношении Sony и First 4 Internet. В частности, было найдено, что программное обеспечение скрывает свою активность подобно руткиту и подвергает пользователей риску последующего заражения вирусами и троянами.
Техника маскировки XCP, которая делает невидимыми все процессы с именами, начинающимися с $sys$ может быть использована другими вредоносными программами для , чтобы также оставаться скрытым от пользователя. Первый вредоносный троян, скрывшийся с помощью XCP, был обнаружен 10 ноября 2005 года, согласно отчету антивирусной компании BitDefender.
Последующее исследование Фелтена и Халдермана показало, что веб-деинсталлятор, который Sony позже предложила для этого программного обеспечения, имел собственные критические проблемы с безопасностью. Программа устанавливает компонент ActiveX, который позволяет любому веб-сайту запускать программное обеспечение на компьютере пользователя без ограничений. Этот компонент используется веб-сайтом First 4 Internet для загрузки и запуска деинсталлятора, но остается активным и после этого, позволяя любому посещаемому пользователем веб-сайту получить контроль над компьютером.
Поскольку XCP специфичен для Microsoft Windows, он не затрагивает другие операционные системы, такие как Linux, BSD, OS/2, Solaris или Mac OS X. Это означает, что пользователи этих систем не подвержены потенциальному вреду от данного программного обеспечения и не сталкиваются с препятствиями при обычных музыкальных треков с компакт-дисков (Некоторые диски, фигурировавшие в скандале с Sony, содержали конкурирующую технологию от , которая пыталась установить расширение ядра в Mac OS X. Однако из-за особенностей разрешений Mac OS X широкого распространения заражений среди пользователей Mac не произошло.)
Хотя Руссинович первым опубликовал о рутките, другие исследователи обнаружили его в тоже самое время, но либо продолжали анализировать его, либо решили не раскрывать ничего в результате статьи «» закона об авторском праве в цифровую эпоху.
Реакция антивирусной индустрии Вскоре после того, как независимые исследователи опубликовали информацию об этой проблеме, поставщики программного обеспечения безопасности выпустили подробные описания компонентов XCP, а также программы для удаления его компонентов, скрытых под префиксом $sys$. С другой стороны, программ для удаления драйвера фильтра CD-ROM так и не было выпущено. Computer Associates, производитель антишпионского ПО , характеризует XCP как троянскую программу и руткит:
XCP.Sony.Rootkit устанавливает исполняемый файл DRM как службу Windows, но обманчиво называет эту службу «Plug and Play Device Manager» (диспетчер устройств Plug and Play), используя технику, часто применяемую авторами вредоносного ПО, чтобы обмануть обычных пользователей, заставив их поверить, что это часть Windows. Примерно каждые 1,5 секунды эта служба запрашивает основные исполняемые файлы, связанные со всеми процессами, запущенными на компьютере, что приводит к почти непрерывным попыткам чтения с жесткого диска. Было показано, что это сокращает срок службы диска.
Более того, XCP.Sony.Rootkit устанавливает драйвер, а именно, фильтр для CD-ROM, который перехватывает запросы к CD-ROM приводу Если какой-либо процесс, отличный от прилагаемого музыкального проигрывателя (player.exe), пытается прочитать аудио-секцию CD, этот драйвер-фильтр вставляет в возвращаемые данные, казалось бы, случайный шум, делая музыку невозможной для прослушивания.
XCP.Sony.Rootkit загружает системный драйвер-фильтр, который перехватывает все запросы на перечисление процессов, каталогов или записей реестра, даже те, которые не связаны с приложением Sony BMG. Этот драйвер руткита изменяет информацию, видимую операционной системе, чтобы скрыть программное обеспечение Sony BMG, что общепринято называется технологией руткитов. Более того, руткит затрагивает не только файлы самого XCP.Sony.Rootkit, он скрывает все файлы, процессы или ключи реестра, начинающиеся с $sys$. Это представляет собой уязвимость, которая уже использовалась для сокрытия World of Warcraft RING0 hacks (на уровне ядра), и потенциально может скрывать файлы и процессы злоумышленника после получения доступа к заражённой системе.
Компания Computer Associates в ноябре 2005 года объявила, что её антишпионское программное обеспечение сможет удалять программное обеспечение Sony. Месяцем позже Microsoft выпустила обновление для Malicious Software Removal Tool которое могло очищать вредоносный код F4IRootkit.
Однако, несколько медленная и неполная реакция некоторых антивирусных компаний вызвала вопросы у Брюса Шнайера, эксперта по информационной безопасности и автора статей и текстов по безопасности, включая Секреты и ложь. В статье для Wired News, Шнайер справшивает: «Что происходит, когда создатели вредоносного ПО вступают в сговор с теми самыми компаниями, которых мы нанимаем для защиты от этого вредоносного ПО?» Его ответ таков: «пользователи проигрывают... Опасный и вредоносный руткит попадает в дикую природу, и полмиллиона компьютеров заражаются до того, как кто-либо предпримет какие-либо действия».
Эффект от XCP Начиная с августа 2005 года пользователи Windows стали сообщать о сбоях, связанных с программой aries.sys, при этом необъяснимым образом не находя этот файл на своих компьютерах. Теперь известно, что этот файл является частью XCP. Ведущий программы Call for Help (Звонов для помощи) Лео Лапорт рассказал, что он столкнулся с увеличением числа сообщений о «пропавших» CD-ROM приводах, что является симптомом неудачных попыток удалить XCP.
Исследователь безопасности Дэн Камински использовал анализ кэша DNS и пришел к выводу, что около 568000 сетей по всему миру могут содержать хотя бы один компьютер, заражённый XCP. Метод Камински основан на том, что DNS-серверы кэшируют недавно полученные результаты, а XCP (то есть, вызывает сайт разработчика) с определённым . Обнаружив DNS-серверы, которые содержат это имя хоста в своем кэше, Камински смог оценить число затронутых сетей. После публикации данных Камински выяснил, что неопределённое количество «Enhanced CD», не содержащих руткит, также связываются с тем же адресом, что и диски с руткитом. Поэтому уровень заражения всё ещё активно исследуется.
Уязвимость XCP Согласно аналитикам компании Gartner XCP страдает от того же недостатка в реализации DRM, что и любая другая технология DRM (нынешняя или будущая), пытающаяся применить DRM к аудио CD, предназначенным для воспроизведения на автономных CD-плеерах. По мнению Gartner, поскольку установка XCP или любого другого DRM-программного обеспечения зависит от того, что CD является мультисессионным, нанесение чернил (например, обычным фломастером) на внешний край диска делает дорожку данных CD нечитаемой. В результате компьютер будет воспринимать диск как обычный музыкальный CD одной сессии.
Правовые проблемы Существует множество предположений относительно того, в какой степени действия, предпринятые этим программным обеспечением, являются нарушением различных законов о несанкционированном вмешательстве в работу компьютеров, или законов, касающихся вторжения в частную жизнь посредством «spyware», и как это подвергает Sony и First 4 Internet юридической ответственности. Штаты Калифорния, Нью-Йорк и Техас, а также Италия уже предприняли юридические действия против обеих компаний, и, вероятно, последуют новые коллективные иски. Однако, само по себе действие по попытке просмотра или удаления этого программного обеспечения с целью определения или предотвращения его изменения в Windows теоретически может представлять собой гражданское или уголовное преступление в соответствии с определённым законодательством о борьбе с обходом защиты, таким как противоречивый Digital Millennium Copyright Act в США.
Фред фон Ломанн из фонда электронных рубежей (, EFF ) также резко раскритиковал EULA XCP, назвав его «юридическим руткитом».
Одной из главных причин проведения эксперимента XCP является проблема добавления защиты от копирования (DRM) к устаревшему стандарту. Эти проблемы подробно рассматриваются профессором Рандалом Пикером, профессором Школы права Чикагского университета в его статье «Mistrust-Based Digital Rights Management» (Управление цифровыми правами на основе недоверия), опубликованной в пятом томе журнала Journal on Telecommunications and High Technology Law. Сами по себе CD не способны обновлять устаревшее оборудование, такое как автономные CD-плееры, и не имеют возможности изменять или обновлять прошивку для чтения DRM. Таким образом, DRM должен быть добавлен таким образом, чтобы не мешать работе устаревших плееров, но при этом работать, когда тот же компакт-диск вставляется в компьютер. Пикер анализирует четыре основные проблемы, связанные с дополнительной защитой DRM.
Первая проблема, как показано на примере XCP, заключается в том, что технически подкованные потребители могут просто обойти защиту от копирования. Отключение автозапуска предотвратило установку руткита и, следовательно, сделало схему защиты недействительной.