[論文レビュー] The Program with a Personality: Analysis of Elk Cloner, the First Personal Computer Virus

Scott Levy, Jedidiah R. Crandall|arXiv (Cornell University)|Jul 30, 2020

Advanced Malware Detection Techniques参考文献 4被引用数 4

ひとこと要約

この論文は、1982年にApple IIのディスクに感染した、最初に知られているパーソナルコンピュータウイルスであるElk Clonerの、最初の詳細な技術的分析を提示する。ウイルスの自己複製メカニズム、ステルス行動、環境依存性を逆アセンブルし、その低病原性と、50回目の起動時に詩を表示するなど、控えめで無害な挙動が、歴史的意義にもかかわらず、広く注目されなかった理由を説明する。

ABSTRACT

Although self-replicating programs and viruses have existed since the 1960s and 70s, Elk Cloner was the first virus to circulate among personal computers in the wild. Despite its historical significance, it received comparatively little attention when it first appeared in 1982. In this paper, we: present the first detailed examination of the operation and structure of Elk Cloner; discuss the effect of environmental characteristics on its virulence; and provide supporting evidence for several hypotheses about why its release was largely ignored in the early 1980s.

研究の動機と目的

• Apple IIシステムの文脈において、Elk Clonerの構造と挙動を最初に包括的な技術的検証すること。
• 1982年にリリースされたにもかかわらず、なぜElk Clonerは発表当時、ほとんど注目されなかったのかを調査すること。
• ディスクの種別（マスターディスク vs スレーブディスク）やユーザ行動といった環境的制約要因が、ウイルスの拡散と検出可能性に与えた影響を分析すること。
• 現代のApple IIディスクイメージの大量コーパスを用いて、ウイルスの実世界への影響を評価すること。
• 現代のマルウェアの進化の文脈において、Elk Clonerの設計を位置づけ、コンピュータセキュリティ史におけるその基盤的役割を強調すること。

提案手法

• 著者のウェブサイトから保存されたソースコードとディスクイメージを用いて、Elk Cloner 2.0の6502マシンコードを逆アセンブルした。
• Apple IIの起動プロセス（Boot 0、Boot 1、Boot 2ローダー）を分析し、Elk Clonerがメモリに常駐する起動シーケンスをいかに乗っ取ったかを特定した。
• Apple DOS 3.3のディスク構造に照らし、ウイルスの感染メカニズムをマッピングした。特に、永続的保存のためのVTOC（ボリュームテーブルオブコンテント）の未使用バイトの利用を特定した。
• 複数回の起動サイクルにわたるウイルスの挙動を追跡し、特定のトリガー（例：50回目、55回目、60回目、70回目の起動）でのペイロード実行を同定した。
• ステルス技術の評価として、ファイルタイプ識別子の入れ替えや、ドライブのキャリブレーション定数の操作によるドライブ音の変更を分析した。
• 9,368枚のApple IIディスクイメージ（公開ソースから取得）をスキャンして、Elk Cloner感染の有無を大規模な実証的分析で評価した。

実験結果

リサーチクエスチョン

• RQ1 Elk ClonerはどのようにApple IIのディスクに感染し、自己複製と永続性を実現する技術的メカニズムを持っていたのか？
• RQ2 最初のパーソナルコンピュータウイルスであるにもかかわらず、なぜElk Clonerは広く注目されなかったのか？
• RQ3 ディスクの種別（マスターディスク vs スレーブディスク）、ユーザ行動、DOSバージョンといった環境要因が、ウイルスの拡散と検出可能性にどの程度制限を加えたのか？
• RQ4 Elk Clonerの具体的な行動シグネチャは何か？ それらがどのようにステルス性と低病原性をもたらしたのか？
• RQ5 現代のApple IIディスクイメージの大量コーパスにおいてElk Clonerが検出されないことは、その歴史的影響と拡散の制限要因をどのように反映しているのか？

主な発見

• Elk Clonerは、トラック17、セクタ0のVTOC（ボリュームテーブルオブコンテント）における未使用領域を悪用することで、Apple IIのディスクに感染し、永続的かつ検出困難な状態で保存された。
• 感染済みと未感染のディスクが同じコンピュータで使用された場合にのみ、ウイルスは拡散した。これは、物理的にユーザーがマシンを移動することで感染が広がる、限られた拡散メカニズムに依存していた。
• テストされた9,368枚のディスクイメージ（うちDOS 3.3搭載のスレーブディスク2,422枚）のうち、最大25％が感染している可能性があるにもかかわらず、Elk Clonerのインスタンスは一切検出されなかった。これは、実世界での感染拡大が極めて限定的であったことを示している。
• Elk Clonerが最も目立つペイロード（50回目の起動時に詩を印刷）は、意図的に遊び心があり、破壊的でないいたずらとして設計されており、これにより検出率が低く抑えられた。
• ファイルタイプ識別子の入れ替えや、ディスクドライブのキャリブレーション定数の操作による音の変更といった、非常に繊細で検出が難しい挙動を用いており、最も注意深く観察するユーザーでさえも気づかない可能性が高かった。
• 自己分析回避や検出回避の技術が一切存在しなかったこと、加えてその無害な性質とユーザ行動に依存する設計が、1980年代初頭においても、その歴史的意義にもかかわらず、見過ごされた理由を説明している。