Отправленное экспертом в Интернет сообщение о наличии на диске Sony BMG подобного вредоносного кода сразу же привлекло к себе внимание. Как оказалось, с начала 2005 г. для ограничения пиратского распространения своих музыкальных дисков Sony BMG использовала лицензированную у британской компании First4Internet программу защиты от копирования XCP.
Анализ, проведенный экспертами подразделения антивирусного ПО компании CA, показал: после того как на ПК с ОС Windows запущен компакт-диск Sony BMG и пользователь принимает лицензионное соглашение, с диска скрытно инсталлируется rootkit. Эта программа, которую почти невозможно обнаружить, перехватывает управление ПК и препятствует выполнению некоторых задач, например перезаписи музыкальных дорожек в виде МР3-файлов с любых дисков. Кроме того, rootkit пересылает на Web-сервер Sony BMG информацию о ПК и его владельце и открывает доступ к этому ПК из Интернета для хакерских атак и вирусов типа «троянских коней». Уже 9 ноября в Интернете появились сообщения об обнаружении первой волны «троянских коней», использующих свойства rootkit.
Sony BMG заявила, что всего лишь защищала свои права, а также права авторов и исполнителей, а разработчик ПО First4Internet отрицала использование в своей программе вредоносного кода. Однако уже 12 ноября подразделение антивирусного ПО компании CA сообщило, что классифицирует применяемую Sony программу XCP как шпионскую, и выпустило инструмент для ее удаления. Одновременно Microsoft объявила об обновлении разрабатываемых ею средств антивирусной защиты с целью обнаружения и удаления программы XCP. А по некоторым оценкам, эта программа уже установлена как минимум на 580 тыс. компьютеров.
В результате в США и Западной Европе против Sony BMG было начато несколько судебных процессов, в которых действия компании рассматриваются как противоречащие законам ряда стран; компании инкриминируется нарушение прав собственности, мошенничество и ложная реклама. Так, штат Техас от лица потребителей подал в суд, предъявив Sony BMG иск за распространение вредоносных средств защиты от копирования и требуя возмещения убытков в размере 100 тыс. долл.
Сначала Sony BMG предложила покупателям воспользоваться исправлением на своем Web-сервере, но оказалось, что оно не удаляет программу XCP, а только лишает ее «скрытности». Поэтому 11 ноября компания объявила, что не будет использовать в своих компакт-дисках XCP, а вместо нее будет применять прежнюю программу — MediaMax компании SunnComm Technologies.
Однако, как установили исследователи из Принстонского университета, MediaMax работает не лучше XCP — без ведома пользователя устанавливает на ПК модули, которые действуют как шпионские программы. MediaMax так же сложно удалить, как и XCP, — она остается на жестком диске и может быть активирована из Интернета любым хакером, получавшим контроль над ПК.
Наконец, 16 ноября Sony BMG объявила, что отзывает 4,7 млн. компакт-дисков с записями 52 музыкальных альбомов и программой XCP. Покупателям 2,1 млн. этих дисков предложено либо их обменять, либо, отправив купленный диск по почте в Sony BMG, получить от компании право бесплатно скачать альбом с ее Web-сервера в виде MP3-файлов.
Но на этом дело не закончилось — 21 ноября Ассоциация защиты прав потребителей (Electronic Frontier Foundation) заявила, что намерена преследовать в судебном порядке Sony BMG за использование в 20 млн. ранее проданных компакт-дисков программы MediaMax, которая также наносила ущерб интересам многих покупателей.