Sony BMG wußte seit Anfang Oktober vom Rootkit-Problem

Reaktion: langsam und unzureichend

Fast einen Monat, bevor Mark Russinovich von sysinternals.com mit seiner Analyse der Rootkit - Technik in Sonys XCP - geschützten verseuchten CDs eine Welle lostrat, in deren Folge Sony immer kräftiger zurückrudern und zahlreiche Fehler zugeben mußte, war die Problematik Sony bereits bekannt: Ein PC-Reparaturshop im Manhattan stieß schon Ende September auf das Problem. John Guarino, der Eigentümer des Shops, wunderte sich über zahlreiche Rechner mit Rootkit - Infektionen, welche ihm zur Reperatur gebracht wurden. Nachdem er die Installation der Malware mittels einer Sony-CD auf dem eigenen Laptop nachvollziehen konnte, kontaktierte er F-Secure: am 30. September.

Am vierten Oktober unterrichtete F-Secure daraufhin Sony BMG. Während F-Secure angibt, Sony von einem "potentiellen Rootkit" auf ihren CDs unterrichtet zu haben, bestreitet Sony, von einem "ernsthaften Securityproblem" unterrichtet worden zu sein. Dennoch wurde die Herstellerfirma First4Internet immerhin über das Problem unterrichtet. Am 17. Oktober meldete sich F-Secure nochmals mit einer warnenden Mail, in der die potentiellen Sicherheitsrisiken der Software ausführlich beschrieben wurden. XCP wurde als "ernstes Sicherheitsrisiko" bezeichnet. Drei Tage später kam es zu einer Telefonkonferenz zwischen F-Secure und First4Internet, in der First4Internet argumentierte, das Risiko sei kein wirkliches Problem, schließich wisse kaum jemand von den Sicherheitslücken, die XCP erzeuge. Für kommende CDs sei ab 2006 ein Update der Software geplant, welche die Lücken darüberhinaus schließen solle.

Seitens First4Internet will man sich zu dieser Konferenz im Nachhinein nicht äußern, F-Secure probierte es anschließend bei Sony, um auf ähnlich taube Ohren zu stoßen. Es sei versucht worden, das Problem kleinzureden, "die hielten uns für dumm", kommentiert Forschungsleiter Santeri Kangas von F-Secure das Gespräch. Sony BMG bestreitet, dass das Gespräch in dieser Form stattgefunden habe. Im Gegenteil habe man so so schnell wie möglich reagiert und zügig einen Softwarepatch anbieten wollen. Dann kam Russinovitch mit seiner Analyse, welche Sony zum verschärften Krisenmanagement zwang: Millionen von CDs seien daraufhin zurückgerufen worden.

Dies scheint nach der ganzen Verzögerung wenig glaubwürdig: dafür, dass man bereits an einem Patch gearbeitet habe, überrascht, dass der erste von Sony veröffentlichte Uninstaller nicht nur daran scheiterte, die DRM-Soft komplett zu entfernen, sondern nebenher noch weitere Sicherheitslücken auf dem System aufriss. Ebenso verwundert, dass trotz der "schnellstmöglichen" Aufklärung keinerlei Notiz von den rechtlichen und sicherheitstechnischen Problemen genommen wurde, die eine weitere Kopierschutztechnik Sonys verursacht: MediaMax, welches sich trotz Ablehnung der Installation im Rechner einnisten kann.

Und auch das Versprechen, die CDs zügig wieder vom Markt zu nehmen, erfüllte Sony nicht. Nun drohen Konsequenzen. Bereits die Staatsanwaltschaft Texas hatte Klagen angedroht, in denen bis zu 100.000 Dollar Schadensersatz pro Gesetzesverstoß fällig werden könnten. New York zieht nun nach: Immer noch seien die Malware-CDs im Handel erhältlich, so Generalstaatsanwalt Spitzer, dies sei nach drei Wochen inakzeptabel, vor allem angesichts der nun anstehenden Weihnachtskäufe.

Die Kunden beginnen jedoch nach anfänglich befürchteter Gleichgültigkeit, einfach mit der Brieftasche zu entscheiden. Die betroffenen Titel leiden inzwischen unter drastischen Verkaufseinbrüchen. Sony tat mit seiner Verzögerungstaktik weder sich noch den gerne vorgeschobenen Künstlern einen Gefallen.

• 3 Kommentare zum Artikel

• Reaktion: langsam und unzureichend Fast einen Monat, bevor Mark Russinovich von sysinternals.com mit seiner Analyse der Rootkit - Technik in Sonys XCP - geschützten verseuchten CDs eine Welle lostrat, in deren Folge Sony immer kräftiger zurückrudern und zahlreiche Fehler zugeben mußte, war die Problematik Sony bereits bekannt: Ein PC-Reparaturshop im Manhattan stieß schon Ende September auf das Problem. John Guarino, der Eigentümer des Shops, ...

  gullinews am 30.11.2005 15:12

• YMMD danke

  ClemensBW am 30.11.2005 15:56

• Ich möchte gerne mal wissen wie Sony da wieder rauskommt...

  Salomon am 30.11.2005 16:20

• Wäre es stilistisch nicht sinnvoller in "Technik in Sonys XCP - geschützten verseuchten CDs" "geschützt" und "verseucht" umzudrehen und verseucht durchzustreichen? Mag diesen Stil in guter bildblog-Manier sehr gerne, aber andersrum würde es besser passen. so long Sevenger

  Sevenger am 30.11.2005 16:51
• [...] Diskussion lesen oder Artikel kommentieren