Extended Copy Protection
このルートキットドライバはどの情報がオペレーティングシステムから見えるかということを、ソニーBMGソフトウエアを隠蔽するために改変する。これが一般にルートキットとして知られている技術である。
さらに、このルートキットはXCP.Sony.Rootkitだけに影響を与えるのではない。これはWindowsオペレーティングシステムにパッチを当てることで、それ自身をユーザーから隠蔽する。これが隠蔽するのは$sys$で始まる名前を持つすべてのファイル、プロセスおよびレジストリキーである。これはシステムに脆弱性を与える。執筆の時点ですでにWorld of Warcraft RING0ハックを隠すために悪用されている。また、ひとたび改変されたシステムに入り込まれてしまえば、攻撃者のファイルやプロセスを隠蔽することのできる可能性を持っている。
このパッチは$sys$で始まる名前を持つプロセス、レジストリのエントリ、ファイルなどの表示も停止させる。"Plug and Play Device Manager" などのこれ以外のXCPコンポーネントは、コンピュータ上で実行されている他のすべてのプロセスを常時監視する。
XCP-Auroraのアンインストーラは現在ソニーBMGのWEBサイトから入手できる。このアンインストーラの調査結果がマーク・ルシノビッチ――XCP の存在を最初に暴露した人物――により「またもソニー:危険な非隠蔽化パッチ、使用許諾契約と密告電話」というタイトルで公開されている。アンインストーラを入手するためには、所定のブラウザ(Microsoft Internet Explorer)を使用することが要求され、オンラインで申込書に電子メールアドレスを記入して、メールを受け取り、パッチをインストールし、第二のオンラインフォームに記入し、それからやっとアンインストーラへのリンクを受け取ることができる。このリンクはパーソナライズされており、一度しかアンインストールすることができない。なおその上に、ソニーのプライバシーポリシーは、このアドレスはプロモーションか、提携業者に供与されるか、または「真っ当なサードパーティーがあなたに直接コンタクトする」目的に使われる場合がある、と謳っている。
さらにこのアンインストーラには遠隔コード実行を許す、セキュリティ上の問題が発生しうることが報告されている。ソニーのアンインストールページはInternet Explorerにこのページが表示されるとActiveXコントロールをインストールしようとする。このActiveXコントロールは “Safe for scripting” とマークされている。これはどんなWEBページであれ、このコントロールとそのメソッドを利用できることを意味している。このコントロールにより提供されるメソッドの中には、攻撃者に対して任意のコードのダウンロードと実行を許可してしまうような危険なものも含まれている。
始まりは、2005年8月の初め、Windowsのユーザーたちがaries.sysと呼ばれるプログラムに関連したクラッシュを報告したことだった 。不可解なことに彼らのコンピュータにそのファイルは見つからないのにもかかわらず、である。問題のファイルは現在ではXCPの一部であることがわかっている。TVシリーズ Call for Help のホスト、Leo Laporteは、CD-ROMドライブ「喪失」の報告の増加を経験したと述べた。これは XCP を削除しようとして失敗したことによる症状である。
セキュリティ研究者のDan Kaminskyは、DNSキャッシュ解析を使って、全世界で568,000のネットワークが、最低でもひとつはXCPに感染したコンピュータを含んでいることを確認した。Kaminskyの方法は、DNSネームサーバが最近のフェッチの結果をキャッシュしていることと、XCP が特定のホスト名にあてて「おうちに電話」するという事実を利用している。問題のホスト名をキャッシュしているDNSサーバを見つけることで、Kaminskyは感染したネットワークの数を概算することができる。このデータを発表した後Kaminskyは、いまだに総数不明のルートキットを含まない「強化型CD」が同様に、ルートキットに感染したディスクが使っているアドレス宛に「おうちに電話」していることを発見した。したがって、感染率はいまだに活発な調査の対象である。