Na era de ouro do MP3 a Sony cometeu um erro catastrófico: colocar malware em seus CDs de música

A Tokyo Tsushin Kogyo é uma das empresas mais tradicionais do mundo da tecnologia. Surgiu logo após a Segunda Guerra Mundial e passou os primeiros anos consertando rádios e criando eletrodomésticos, incluindo uma panela elétrica de arroz que não deu muito certo. Como o nome era complicado demais para o público ocidental, eles decidiram simplificar: virou Sony.

Agora sim, a história começa a fazer sentido. Afinal, ninguém precisa que a gente explique a essa altura o quanto a Sony foi importante para a inovação tecnológica.

Mas nem toda inovação traz bons resultados

E há exatos 20 anos, a Sony cometeu aquele que talvez tenha sido o maior erro de sua história: esconder um malware nos CDs de música que vendia.

Ah, o MP3…

Embora tenha explodido de vez no fim dos anos 90 e início dos anos 2000, a história do formato já vinha de muito antes. Foi nos anos 80 que o engenheiro alemão Karlheinz Brandenburg desenvolveu uma forma de comprimir arquivos de áudio digital sem perda perceptível de qualidade para o ouvido humano.

Os fãs mais puristas do FLAC até torcem o nariz, mas o que Brandenburg e sua equipe criaram foi um algoritmo que removia informações sonoras difíceis de serem captadas por humanos, reduzindo drasticamente o tamanho dos arquivos.

Isso abriu um mundo de possibilidades para o consumo e a distribuição de música: surgiram os tocadores portáteis de MP3, a venda de faixas digitais e, claro, o streaming. Mas também escancarou as portas para a cópia e o download ilegal de músicas.

Hora do ataque

No início dos anos 2000, a Sony Music já era um gigante da indústria fonográfica. Hoje a empresa trava batalhas contra o uso de inteligência artificial em músicas, mas naquela época o problema era outro: o MP3. E a Sony não escondia o incômodo, pelo contrário, adotava uma postura agressiva.

A companhia desenvolvia ativamente tecnologias de proteção contra cópias em seus CDs. Em agosto de 2000, Steve Heckler, então vice-presidente da Sony Pictures Entertainment nos EUA, deixou isso bem claro:

"A indústria vai tomar todas as medidas necessárias para se proteger e proteger suas fontes de receita. Não vamos perder esse fluxo de dinheiro. Aconteça o que acontecer, a Sony vai agir com agressividade para conter isso e vai desenvolver uma tecnologia que vá além do controle do usuário individual."

Você pode achar que foi só discurso duro. Mas Heckler foi ainda mais longe: prometeu colocar um firewall contra o Napster.

"Vamos bloquear na sua operadora de cabo. Vamos bloquear na sua operadora de telefone. Vamos bloquear na sua fornecedora de internet. Vamos colocar um firewall no seu computador. São estratégias agressivas porque, simplesmente, tem muita coisa em jogo."

E a Sony, de fato, cumpriu a promessa

XCP. O nome pode soar familiar por causa da treta recente entre LaLiga e a Cloudflare, mas o caso da Sony foi ainda mais... curioso.

Pouco depois das declarações de Heckler, a empresa lançou o segundo álbum da Natalie Imbruglia com proteção anticópia embutida, sem avisar ninguém. Mas isso era só o começo. A companhia já vinha testando CDs com sistemas de proteção mais rígidos em mercados selecionados.

E não foi só a Sony. Antes da fusão entre as duas empresas, a BMG também lançou milhões de álbuns com algum tipo de bloqueio contra cópias.

Em março de 2004, Sony e BMG se uniram em uma parceria 50/50, mostrando força na indústria da música e reforçando a estratégia conjunta contra a pirataria. As duas empresas sempre foram duras em relação à cópia ilegal de músicas e já haviam deixado claro que fariam o que fosse necessário para conter a distribuição não autorizada.

Em algum momento desse processo, elas contrataram os serviços da empresa britânica First 4 Internet.

Essa empresa oferecia uma ferramenta que parecia à prova de falhas: um sistema chamado Extended Copy Protection, ou simplesmente XCP. Quando o usuário colocava um CD com XCP no computador, o recurso de execução automática era ativado e exibia um contrato de licença que precisava ser aceito para prosseguir. Se o usuário recusasse, o CD era ejetado e não podia ser reproduzido.

Caso aceitasse os termos, era possível ouvir a música normalmente — sem notar nada de errado, a menos que tentasse copiar os arquivos. O sistema só permitia fazer até três cópias do CD completo ou três cópias de cada faixa.

Alguns trechos do contrato de licença (o famoso EULA) chamavam atenção:

• Se você mudasse de país, teria que apagar todas as músicas copiadas. Se o CD fosse roubado, o conteúdo também deveria ser excluído.
• Ao aceitar, o usuário permitia que a Sony instalasse backdoors no computador, para forçar o cumprimento dos direitos autorais
• Caso o consumidor quisesse processar a empresa, o valor máximo de indenização era de apenas 5 dólares.

Quase nada. Mas o pior ainda estava por vir. Era malware.

Quando o usuário aceitava o EULA, não só ganhava acesso ao conteúdo do CD como também permitia a instalação de vários programas. Alguns eram esperados, como o sistema de proteção anticópia, o player da Sony BMG e os drivers necessários para rodar o disco. Mas havia algo a mais. Algo muito mais sombrio.

Sem qualquer aviso, o computador era infectado com um rootkit chamado "$sys$aries", que se ativava automaticamente junto com o sistema operacional e fazia de tudo para esconder seus processos.

Nem os antivírus conseguiam detectá-lo. Isso representava um enorme problema de segurança.

Ao se ocultar tão profundamente no sistema, o rootkit criava uma brecha que podia ser facilmente explorada por malwares externos. E o usuário, claro, não fazia ideia de que estava abrindo essa porta ao simplesmente ouvir um CD original.

Flagrante

Não demorou muito para que o escândalo viesse à tona. Em outubro de 2005, o engenheiro de software Mark Russinovich publicou um post em seu blog detalhando o funcionamento do rootkit escondido nos CDs da Sony.

Ele não apenas expôs o malware como também destacou que o contrato de licença (EULA) não mencionava em nenhum momento a existência desse software. Para Russinovich, aquilo era a prova de que a gestão de direitos digitais tinha ultrapassado todos os limites.

Russinovich não era qualquer um

Nascido em Salamanca e com nacionalidade norte-americana, ele é atualmente o CTO da Microsoft Azure. E o XCP não foi o único rootkit que ele expôs. Em 2006, ele fez algo parecido ao revelar uma falha semelhante em um software da Norton.

Além de denunciar a brecha de segurança criada pelo sistema da Sony, Russinovich também apontou que o XCP usava procedimentos inseguros para funcionar, o que podia causar falhas graves no sistema operacional.

E o pior: o rootkit era praticamente impossível de desinstalar. Funcionava em segundo plano, consumindo recursos do computador e deixando tudo mais lento — mesmo quando nenhum CD da Sony estava sendo reproduzido.

A resposta

A Sony não tinha como negar o que fez, embora tenha tentado logo de início. Diante da pressão, a empresa lançou rapidamente uma ferramenta para remover o rootkit. Mas o que era pra ser a solução acabou piorando ainda mais a situação.

Russinovich analisou o software de remoção e descobriu que ele apenas desmascarava os arquivos ocultos criados pelo rootkit, mas não o removia de fato.

Pior ainda: a ferramenta instalava um novo programa que só podia ser desinstalado com um arquivo adicional, disponível apenas após o envio do e-mail pessoal do usuário para a Sony.

O problema deixou de ser só da Sony e dos consumidores. A Microsoft também precisou intervir e lançar patches de segurança para proteger o Windows.

E o escândalo não envolveu apenas alguns CDs isolados. Foram milhões de discos afetados.

Consequências

Em novembro daquele ano, a Sony BMG finalmente lançou uma ferramenta que removia de verdade o rootkit. Mas já era tarde demais. Cerca de 22 milhões de CDs com esse sistema de proteção haviam sido distribuídos, e a empresa começou a recolher as unidades não vendidas nas lojas.

A Sony também permitiu que os consumidores trocassem seus CDs com XCP por versões sem o sistema anticópia.

A polêmica foi tão grande que agências de segurança começaram a emitir alertas para que os usuários evitassem instalar qualquer software vindo de CDs que, em tese, não deveriam conter programas, como é o caso de um CD de música.

Nada disso foi suficiente

Em novembro de 2005, o estado do Texas processou a Sony BMG por instalar software espião em milhões de CDs. Segundo o procurador-geral do estado, Greg Abbott, “milhares de texanos são vítimas em potencial desse jogo enganoso da Sony”.

Sem saída, a Sony foi condenada a pagar 750 mil dólares em despesas legais. Também teve que aceitar devoluções dos clientes, colocar avisos claros nas embalagens dos CDs e pagar até 150 dólares por cada computador danificado.

Outros estados norte-americanos, países como a Itália e até a própria FTC (Comissão Federal de Comércio dos EUA) se juntaram ao caso com investigações e ações judiciais. A Sony chegou a emitir comunicados informando quais países haviam recebido CDs com XCP. Mas, como se diz, o estrago já estava feito — e o mais grave: alguns cibercriminosos passaram a copiar os métodos do rootkit da Sony para esconder seus próprios malwares.

Apple só observando

A Sony foi a mais agressiva, mas não foi a única gigante da música que apostou no DRM em seus CDs. Essa postura fechada acabou dando espaço para que a Apple conquistasse uma boa fatia do mercado de players portáteis e da venda digital de músicas.

Enquanto as grandes gravadoras impediam os usuários de fazer cópias legais das músicas que compravam para ouvir em dispositivos MP3, o iTunes virou a plataforma preferida de quem tinha um iPod — e queria preenchê-lo, claro, com músicas.

Mesmo assim, a insistência continuou. Em 2007, as gravadoras ainda tentavam emplacar novos formatos de DRM.

Mas, um a um, começaram a recuar

EMI, Vivendi e Warner anunciaram em 2007 que abandonariam o DRM. A Sony BMG fez o mesmo em 2008, na tentativa de aumentar as vendas em suas plataformas e também em outras, como a Amazon. Tudo para tentar morder uma fatia do mercado que a Apple dominava com o iPod.

Os ecos do escândalo do rootkit ainda ressoavam. E, em outubro daquele ano, a aliança entre Sony e BMG chegou ao fim.

A marca voltou a se chamar Sony Music. E, apesar daquele tropeço histórico, a empresa se reergueu e hoje ocupa o topo da indústria fonográfica, acima de nomes como Universal e Warner Music.