En la era dorada del MP3, Sony cometió un error catastrófico: meter un malware en sus CD de música

Tokyo Tsushin Kogyo es una de las empresas con más solera en el mundillo tecnológico. Nació justo después de la Segunda Guerra Mundial y sus primeros años lo pasaron reparando radios e inventando electrodomésticos como una fallida arrocera eléctrica. Como su nombre era tan complicado para occidente, decidieron cambiarlo por algo mucho más simple: Sony. Ahora seguro que te empieza a sonar la película porque no vamos a descubrir la importancia de Sony y su innovación a estas alturas.

Pero esa innovación no siempre es positiva y hace justo 20 años, Sony cometió el que pudo ser el mayor error de su historia: instalar un malware en los CD de música que vendían.

Ay, el MP3… Aunque fue a finales de los 90 y comienzos de los 2000 cuando el formato MP3 estalló en popularidad, su historia tenía ya unos cuantos años a sus espaldas. Fue en los 80 cuando un ingeniero alemán llamado Karlheinz Brandenburg desarrolló un método para comprimir archivos de audio digital sin que la pérdida de calidad fuera perceptible para el oído humano.

Los más puristas del FLAC dirán que e MP3 es el Diablo, pero el equipo de Brandenburg empleó un algoritmo que eliminaba la información sonora que los humanos no percibimos fácilmente, reduciendo así una barbaridad el peso de esos archivos. Esto abrió un mundo de posibilidades en la industria de consumo y de distribución: nacieron los reproductores portátiles de MP3, abrió camino para la distribución de la música digital y para el streaming de la misma. También abrió, de dos en dos, la brecha para la copia de canciones y la descarga ilegal de las mismas.

En Xataka

De cómo el MP3 tuvo que morir dos veces antes de revolucionar para siempre el mundo de la música

Al ataque. Sony Music ya era un gigante de la industria discográfica a principios de los 2000. Ahora es muy combativa con la IA, y en su día el MP3 no les hacía ni pizca de gracia. De hecho, se mostraban muy agresivos al respecto. Estaban activamente desarrollando métodos de protección para sus discos de música y, en agosto del 2000, Steve Heckler, vicepresidente de Sony Pictures Entertainment de EEUU declaró lo siguiente:

“La industria tomará cualquier medida necesaria para protegerse y proteger sus fuentes de ingresos. No perderemos ese flujo de dinero. Pase lo que pase, Sony va a tomar medidas agresivas para detener esto y desarrollaremos tecnología que trascienda al usuario individual”. Puedes pensar que sí, palabras duras, pero anda demasiado agresivo. Atento porque Heckler continuó afirmando que iban a poner un firewall a Napster. 

“Lo bloquearemos en tu compañía de cable. Lo bloquearemos en tu compañía telefónica. Lo bloquearemos en tu compañía de Internet. Pondremos un firewall en tu PC. Son estrategias agresivas porque, simplemente, hay demasiado en juego”. Y vaya si cumplieron su palabra.

XCP. Puede que sea algo que te suene debido a lo cercano que tenemos el conflicto entre LaLiga y Cloudflare, pero realmente el asunto de Sony fue mucho más… curioso. Poco después de las declaraciones de Heckler, Sony lanzó el segundo álbum de Natalie Imbruglia con protección anticopia sin anunciar que llevaba protección anticopia, pero este era un plan que ya estaba en marcha y la compañía lanzó ciertos discos con una fuerte protección en algunos mercados. Además, antes de fusionarse con Sony, BMG también lanzó millones de álbumes con algún sistema de protección.

El reproductor | Imagen: Mark Russinovich

En marzo de 2004, Sony y BMG formaron una alianza al 50%, marcando músculo en la industria musical y viendo cómo esa estrategia contra la piratería de canciones tenía muchos puntos en común. Las dos compañías se habían mostrado duras al respecto y habían declarado que harían lo que tuvieran que hacer para detener la distribución ilegal. Así, en algún momento, contrataron los servicios de Firts 4 Internet.

Esta empresa tenía una herramienta que parecía infalible: un sistema llamado Extended Copy Protection, o XCP. Cuando se introducía un CD de música con XCP en un PC, el autoarranque se activaba y mostraba un acuerdo de licencia que el usuario debía aceptar. De no hacerlo, el CD se expulsaba y no podíamos reproducirlo. Al aceptarlo, podíamos disfrutar de la música y no notaríamos nada… a excepción de que quisiéramos copiar los archivos, ya que sólo se permitían tres copias del CD completo o tres de cada pista.

Algunos puntos de ese EULA:

• Si te mudabas del país, tenías que borrar toda tu música. Si te robaban el CD, también.
• Al aceptar, asumías que SOny podía instalar puertas traseras en el PC para que ellos puedan forzar el cumplimiento de sus derechos.
• En caso de disconformidad, la suma máxima por la que podías demandar a Sony era de 5 dólares.

Casi nada, pero lo peor no era eso.

Era… malware. Pero cuando se aceptaba el EULA, no sólo se nos permitía el acceso al CD, sino que se instalaban varios programas. Eran los habituales como la propia protección, un reproductor de Sony BMG o los drivers para reproducirlo. Pero había algo más, algo mucho más oscuro. Tanto que los usuarios no tenían idea de que aceptar ese acuerdo estaba infectando su PC.

¿El motivo? Junto a los otros archivos, se instalaba un rootkit llamado "$sys$aries” que se activaba automáticamente al iniciar el sistema operativo y hacía todo lo posible por ocultar sus procesos. Incluso a ojos de los antivirus. Esto, como te puedes imaginar, era un problemón porque ocultarse tan profundo en el sistema abría una brecha de seguridad enorme que podía ser aprovechada por malware malintencionado.

Mark Russinovich

Pillados. No tardaron demasiado en descubrir el pastel. Mark Russinovich, ingeniero de software, desató la polémica cuando publicó en octubre de 2005 una entrada de blog detallando el funcionamiento de este rootkit. No sólo destapó el malware, sino que indicó que el EULA no mencionaba ese sofware y denunció que la gestión de derechos digitales había ido demasiado lejos.

Mark Russinovich

Russinovich no era un cualquiera: este salmantino con nacionalidad estadounidense es actualmente el CTO de Microsoft Azure y XCP no fue el único rootkit que sacó a la luz (hizo algo muy similar en 2006 con un rootkit de Norton). El ingeniero, además de apuntar a esa creación de agujeros de seguridad, afirmó que empleaba procedimientos inseguros para actuar, lo que podía llevar a fallos de sistema. 

Era casi imposible de desinstalar y, como funcionaba en segundo plano, consumía recursos del PC, haciendo que fuera más lento incluso cuando no había un CD de música de Sony en reproducción.

En Xataka

Todas las veces que metieron DRM a algo y salió mal: del caos con las impresoras al escándalo con los CDs

Respuesta. Sony no tenía manera de negar sus acciones -aunque fue lo primero que hicieron-, por lo que lanzaron rápidamente un software para eliminar el rootkit, pero el remedio fue peor que la enfermedad. Russinovich lo analizó y comentó que lo que hacía la nueva herramienta era desenmascarar los archivos ocultos que el rootkit había instalado, pero realmente no quitaba el rootkit.

Además, instalaba un nuevo software que no se podía desinstalar sin un archivo descargable al que se tenía acceso después de dar una dirección de correo a Sony. Y esto ya no era un quebradero de cabeza sólo para Sony y los usuarios, también para una Microsoft que tuvo que sacar parches de seguridad. Y no fueron pocos discos...

Mark Russinovich

Consecuencias. En noviembre de ese año, Sony BMG lanzó una nueva herramienta que eliminaba, por fin, el rootkit, pero el daño ya estaba hecho. Se habían distribuido unos 22 millones de CD con ese método de protección y Sony empezó a recopilar las unidades no vendidas de la tienda. Se enfrentó a denuncias, permitió que usuarios cambiaran sus CD con el método anticopia por nuevas versiones sin el XCP e inspiró a autoridades de seguridad para que avisaran a los usuarios de que no instalaran software procedente de CD que no deberían contener software, como un CD de música.

No fue suficiente y, en noviembre de 2005, Texas demandó a Sony BMG alegando que estaban instalando software espía en millones de CD y debido a que “miles de tejanos son víctimas potenciales de este juego engañoso de Sony”, según el fiscal del Estado, Greg Abbott. Sony no tenía forma de salir de esa y fue condenada a pagar 750.000 dólares en costas legales, aceptar las devoluciones de los clientes, poner avisos en sus CD y pagar hasta 150 dólares por cada ordenador que se hubiera dañado.

Otros estados, países como Italia o hasta la propia FTC de Estados Unidos se sumaron al caso, con sus correspondientes investigaciones y demandas, y la compañía emitió algunos comunicados informando sobre si en ciertos países habían distribuido CD con XCP, pero como decíamos, el daño ya estaba hecho y algunos ciberdelincuentes tomaron nota de los métodos que usaba este rootkit para ocultarse.

En Xataka

Historia de Winamp: el reproductor que puso el mp3 en nuestras vidas y que nunca dijo del todo "adiós"

Apple tan contenta. Sony fue la más agresiva, pero no la única gran discográfica que usaba DRM en sus CD, y esto permitió que Apple pegara un buen bocado a la industria de los reproductores portátiles y a la venta de música digital. Mientras las discográficas más grandes no permitían que sus usuarios crearan copias legales para sus dispositivos MP3 de las canciones y discos que habían comprado, iTunes se convirtió en la plataforma preferida para comprar canciones porque quien tuviera un iPod quería llenarlo… bueno, de canciones. Y lo siguieron intentando durante 2007 con nuevo DRM.

Así, EMI, Vivendi, Warner en 2007 y, por último, Sony BMG en 2008, anunciaron que se bajaban del barco de la música con DRM para ver si las ventas remontaban en sus propias plataformas o a través de otras como Amazon, con la esperanza de dar un bocado a la manzana del iPod. Los ecos del escándalo del rootkit siguieron resonando y, en octubre de ese mismo año, la alianza entre Sony y BMG se rompió.

Volvió a llamarse Sony Music y, pese a ese gravísimo traspié, se convirtió en la ballena que es actualmente, estando por encima de otras como Universal y Warner Music.

Imágenes | Mark Russinovich, Xataka

En Xataka | Parecía un enemigo imposible, en realidad era el sistema antipiratería más brillante metido en un videojuego

-
La noticia En la era dorada del MP3, Sony cometió un error catastrófico: meter un malware en sus CD de música fue publicada originalmente en Xataka por Alejandro Alcolea .