[논문 리뷰] The Program with a Personality: Analysis of Elk Cloner, the First Personal Computer Virus

Scott Levy, Jedidiah R. Crandall|arXiv (Cornell University)|2020. 07. 30.

Advanced Malware Detection Techniques참고 문헌 4인용 수 4

한 줄 요약

이 논문은 1982년에 Apple II 디스크에 감염된 것으로 알려진 첫 번째 개인용 컴퓨터 바이러스인 Elk Cloner에 대한 첫 번째 상세한 기술 분석을 제시한다. 바이러스의 자기 복제 메커니즘, 스텔스 행동, 환경적 의존성에 대해 역공학을 수행한 결과, 낮은 병원성과 약간의 양성 증상(예: 50번째 부팅 시 시를 표시하는 것) 덕분에 역사적으로 중요한 첫 번째 PC 바이러스임에도 불구하고 거의 주목받지 못한 이유를 설명한다.

ABSTRACT

Although self-replicating programs and viruses have existed since the 1960s and 70s, Elk Cloner was the first virus to circulate among personal computers in the wild. Despite its historical significance, it received comparatively little attention when it first appeared in 1982. In this paper, we: present the first detailed examination of the operation and structure of Elk Cloner; discuss the effect of environmental characteristics on its virulence; and provide supporting evidence for several hypotheses about why its release was largely ignored in the early 1980s.

연구 동기 및 목표

• Apple II 시스템 환경에서 Elk Cloner의 구조와 행동에 대한 첫 번째 종합적인 기술적 분석을 제공하기 위해.
• Elk Cloner가 1982년에 발표되었음에도 불구하고, 첫 번째 PC 바이러스임에도 불구하고 주목을 거의 받지 못한 이유를 조사하기 위해.
• 디스크 타입(마스터 대 슬레이브), 사용자 행동 등의 환경적 제약 조건이 바이러스의 확산과 탐지 가능성에 어떤 영향을 미쳤는지 분석하기 위해.
• 현대 Apple II 디스크 이미지 코퍼스에서 Elk Cloner의 존재를 테스트하여 실제 영향을 평가하기 위해.
• 현대 멀웨어의 진화 맥락에서 Elk Cloner의 설계를 정립함으로써 컴퓨터 보안 역사에서 그 기초적 역할을 부각시키기 위해.

제안 방법

• 저자의 웹사이트에서 보존된 소스 코드와 디스크 이미지를 활용하여 Elk Cloner 2.0의 6502 기계어를 역공학적으로 분석하였다.
• Apple II의 부팅 프로세스(Boot 0, Boot 1, Boot 2 로더)를 분석하고, Elk Cloner가 메모리에 존재하는 부팅 시퀀스를 어떻게 악용했는지 규명하였다.
• Apple DOS 3.3의 디스크 구조와 연계하여 바이러스의 감염 메커니즘을 매핑하였으며, 특히 VTOC의 사용되지 않는 바이트를 활용해 지속성을 확보한 점을 분석하였다.
• 여러 부팅 사이클에 걸쳐 바이러스 행동을 추적하여 특정 트리거(예: 50번째, 55번째, 60번째, 70번째 부팅)에서 피로드 실행이 이루어지는 것을 확인하였다.
• 스텔스 기법 평가를 위해 파일 식별자 교환 및 디스크 캘리브레이션 상수 조작을 통한 드라이브 소리 변화 기법을 분석하였다.
• 공개된 자료에서 확보한 9,368개의 Apple II 디스크 이미지를 대상으로 대규모 실증 분석을 수행하여 Elk Cloner 감염 여부를 탐지하였다.

실험 결과

연구 질문

• RQ1 Elk Cloner는 어떻게 Apple II 디스크에 감염되었으며, 자기 복제와 지속성을 가능하게 한 기술적 메커니즘은 무엇인가?
• RQ2 Elk Cloner가 첫 번째 개인용 컴퓨터 바이러스임에도 불구하고, 1982년 발표 이후 광범위한 주목을 받지 못한 이유는 무엇인가?
• RQ3 디스크 타입(마스터 대 슬레이브), 사용자 행동, DOS 버전 등의 환경적 요인이 바이러스의 확산과 탐지 가능성에 어느 정도의 영향을 미쳤는가?
• RQ4 Elk Cloner의 특정 행동 서명은 무엇이었으며, 이는 어떻게 스텔스성과 낮은 병원성을 높이는 데 기여했는가?
• RQ5 현대 Apple II 디스크 이미지 코퍼스에서 Elk Cloner가 발견되지 않는 것은 역사적 영향과 확산 제한 요인을 어떻게 반영하는가?

주요 결과

• Elk Cloner는 트랙 17, 섹터 0의 볼륨 테이블 오브 콘텐츠(VTOC)에 사용되지 않는 공간을 악용하여 Apple II 디스크에 감염되었으며, 이는 지속적이고 탐지되지 않는 저장을 가능하게 하였다.
• 감염된 디스크와 감염되지 않은 디스크가 동일한 컴퓨터에서 사용될 경우에만 바이러스가 확산되었으며, 이는 사용자가 기기 간에 물리적으로 이동하는 데에 국한되었다.
• 테스트한 9,368개의 디스크 이미지 중 약 25%에 해당하는 2,422개의 슬레이브 디스크(모두 DOS 3.3)에 감염되었을 가능성이 있었지만, Elk Cloner의 사례는 전혀 발견되지 않아 실제 세계에서의 확산 비율이 매우 낮음을 시사한다.
• Elk Cloner의 가장 눈에 띄는 피로드—50번째 부팅 시 시를 출력하는 것—은 놀이성 있고 방해가 되지 않는 악플을 의도적으로 설계하여, 탐지율이 낮아지는 데 기여하였다.
• 파일 유형 식별자 교환 및 디스크 드라이브 캘리브레이션 소리 조작과 같은 미세한, 감지하기 어려운 행동을 사용하여, 가장 민감한 사용자 외에는 거의 인지되지 않았다.
• 분석 방지 또는 탐지 방지 기법이 없었고, 그 성격이 양성적이며 사용자 행동에 의존하고 있었기 때문에, 역사적으로 중요한 바이러스임에도 불구하고 1980년대 초에 간과당한 이유를 설명할 수 있다.