6万個以上のWinampスキンを分析した結果「パスワードべた書きファイル」「謎の広告PDF」などの興味深いファイルが大量に発見される

老舗音楽プレイヤーの「Winamp」には外観をカスタムできるスキン機能が搭載されており、ユーザーが独自のスキンを作成してネット上に公開する文化が形成されていました。そんなWinampのスキンをプログラマー兼音楽家のジョーダン・エルドリッジ氏が収集した結果、スキンファイルに格納されていた「謎の広告」「思い出の写真」「パスワードべた書きテキストファイル」といった興味深いファイルが大量に発見されました。
The bizarre secrets I found investigating corrupt Winamp skins / Jordan Eldredge
https://jordaneldredge.com/notes/corrupted-skins/
エルドリッジ氏はWinampの熱心な愛好家で、これまでにWinampをブラウザ上で完全再現する「Webamp」や、Winampのスキンを大量に閲覧できるオンライン博物館「Winamp Skin Museum」などWinamp関連の複数のプロジェクトに取り組んできました。
エルドリッジ氏はWinamp Skin Museumの開発に際してインターネット上から約6万5000個ものスキンを収集しました。収集した膨大なスキンの中には正しく開けない破損したファイルも含まれていたとのこと。そこで、破損したスキンファイルを分析した結果、スキンの作成者が仕込んだのか、それとも紛れ込んだのか、不思議なファイルが数多く見つかりました。
Winampのスキンは「○○.wsz」という形式で保存されています。このWSZ形式のファイルは実際にはZIPファイルの拡張子のみを変更したものです。このため、破損したスキンの拡張子を変更すればファイルの中身を容易に確認可能です。エルドリッジ氏が発見した興味深いファイルの例は次の通り。「Wicked_Ways.wsz」というスキンには以下の「ボウリングのピンの着ぐるみレンタルサービスをアピールする広告」が含まれていました。「Wicked_Ways.wsz」にスキン関連のファイルは含まれておらず、この広告のPDFファイルのみが含まれていたそうです。

「bobs_car.wsz」というスキンには以下の車の写真だけが含まれていました。なお、インターネット上の有志によって写真の撮影場所がイギリスの展望ポイントであることが特定されています。

「resubmitted.2003_rsx.wsz」という破損スキンは「暗号化されたZIPファイル」だったとのこと。エルドリッジ氏が辞書攻撃を実行した結果、パスワードが「honda」だったことが判明。パスワードを入力して復号すると、「Acura RSX」の写真を上部に配置したスキン「2003_acura_rsx.updated.wsz」が現れました。作成者がファイルを暗号化した理由は不明です。

暗号化されたスキンの存在を知ったエルドリッジ氏は探索範囲を破損していないスキンにも広げ、「password」といった単語でスキンに含まれるファイルを検索。その結果、メールアドレスとメールアドレスのパスワードを併記した「E-mail passwords.txt」というファイルが見つかったとのこと。
また、「Chet_Baker.wsz」というスキンには「secret.txt」という名前のテキストファイルが含まれており、伝説的トランペット奏者チェット・ベイカー(Chet Baker)の伝記が記されていました。

「Standing around the hoop.jpg」という写真ファイルを含むスキンもありました。

「スキンの中にスキンが格納されている」というパターンもあり、スキンの中から合計127個のスキンが発見されたとのこと。そのうち54個はエルドリッジ氏が初めて目にするスキンでした。なお、エルドリッジ氏が開発したオンライン博物館「Winamp Skin Museum」では大量のWinampスキンが公開されており、各スキンの見た目を確認したり実際にボタンや調整バーを動かしたり音楽を再生したりできます。
Winamp Skin Museum
https://skins.webamp.org/