O malware vem em CD

Fico chateado quando a indústria é vista como inimiga, quando se pensa que os fornecedores farão o pior e é preciso proteger-se deles.Mas práticas como a da Sony BMG em utilizar um root­kit para proteger seus CDs contra cópias me fazem entender esse pensamento.

Não sou propriamente contrário ao DRM (sistemas digitais de proteção dos direitos autorais). Vivo diariamente os procedimentos da propriedade intelectual e por isso consigo entender a necessidade de protegê-la contra roubo. Mas existe um jeito certo e um outro errado para criar um DRM.

A Sony BMG e o seu prestador de serviços First 4 Internet decidiram negligenciar os interesses dos seus clientes e instalar um malware em seus sistemas sem permissão. E mais, eles esconderam o software. Apesar das afirmações contrárias da Sony e da First 4 Internet (a Sony declara “Este componente não é malicioso e não compromete a segurança”), uma análise de Mark Russinovitch, uma autoridade em Microsoft Windows, e testes paralelos feitos pela empresa de segurança F-Secure mostram com clareza que agressores poderiam se aproveitar da funcionalidade do rootkit para esconder seus próprios arquivos e registros e que as técnicas usadas pelo software correm o risco de deixar o sistema inutilizado. De fato, segundo um alerta do fornecedor de segurança BitDefender, já foi detectado um novo cavalo-de-tróia que usa a capa fornecida pelo componente DRM da Sony para se esconder e causar danos.

Quando um fornecedor instala um programa complicado em seu computador, não é razoável esperar que ele revele cada aspecto desse programa, mas há uma diferença entre ser sucinto e fraudulento. Como mostra Russinovich, a licença de usuário final (EULA) não menciona a capacidade do software se disfarçar ou de modificar o sistema operacional. Na verdade, a EULA sugere que o software é removível (“Uma vez instalado, o SOFTWARE residirá em SEU COMPUTADOR até ser removido ou deletado”), apesar de não ser fornecido um desinstalador. A remoção manual do arquivo pode deixar o drive de CD-ROM inutilizado.

A First 4 Internet lançou uma atualização que remove os aspectos de disfarce do software, acabando com o ocultamento de arquivos e registros que começam com $sys$, mas não permitirá a remoção do software. Para isso, é preciso preencher um formulário em http://cp.sonybmg/xcp/english/form14.html e então seguir as instruções.

O formulário de desinstalação solicita o fornecimento do nome do artista e do título do álbum do CD, o nome da loja onde foi comprado e seu endereço de e-mail. Por que eles precisam dessas informações? Pode-se ter uma idéia da razão na política de privacidade da Sony, para a qual há um link na página do formulário. Se quiser tentar desinstalar o software malicioso que a Sony colocou em seu sistema sem pedir permissão ou mesmo revelar o fato, você tem que permitir que a Sony lhe envie e-mails sobre o artista, promoções e ofertas especiais. A gravadora pode ainda compartilhar tais informações com terceiros (de reputação duvidosa), que também podem contatá-lo diretamente.

Deixar escapar “questões técnicas” para a First 4 Internet, como a Sony faz nesse caso, não me convence. Ninguém, mas ninguém mesmo, que compra um CD de um artista da Sony acha que está comprando um produto da First 4 Internet. No mínimo, a Sony precisa dizer que nunca mais vai fazer isso e sair de cena. Esperamos, que ao ler este artigo, a Sony tenha tratado essa situação terrível de uma maneira mais aceitável, mas não vimos nenhum sinal animador de que isso vai acontecer — pelo menos até o fechamento desta edição.

A lei precisa ser severa com esse comportamento e deixar claro que não é uma prática aceitável para empresas sérias. Afinal, se não houver problema para a Sony instalar um malware em meu computador sem me avisar, por que haverá algum problema para qualquer um instalar um malware em meu sistema sem me dizer?


Fonte: www.pcmag.com.br