[论文解读] The Program with a Personality: Analysis of Elk Cloner, the First Personal Computer Virus

Scott Levy, Jedidiah R. Crandall|arXiv (Cornell University)|Jul 30, 2020

Advanced Malware Detection Techniques参考文献 4被引用 4

一句话总结

本文对首个已知的个人电脑病毒——Elk Cloner——进行了首次详尽的技术分析，该病毒于1982年感染了Apple II磁盘。研究逆向分析了病毒的自我复制机制、隐蔽行为及其环境依赖性，结论指出其致病性低且表现微妙、无害，例如在第50次启动时显示一首诗，因此尽管其在计算机安全史上具有开创性意义，却在很大程度上未被察觉。

ABSTRACT

Although self-replicating programs and viruses have existed since the 1960s and 70s, Elk Cloner was the first virus to circulate among personal computers in the wild. Despite its historical significance, it received comparatively little attention when it first appeared in 1982. In this paper, we: present the first detailed examination of the operation and structure of Elk Cloner; discuss the effect of environmental characteristics on its virulence; and provide supporting evidence for several hypotheses about why its release was largely ignored in the early 1980s.

研究动机与目标

• 提供对Elk Cloner在Apple II系统背景下结构与行为的首次全面技术检查。
• 调查Elk Cloner作为首个PC病毒，为何在1982年发布时未引起广泛关注。
• 分析环境限制因素（如磁盘类型（主盘与从盘）及用户行为）如何影响其传播与可检测性。
• 通过在现代Apple II磁盘镜像大规模样本中测试其存在性，评估该病毒在现实世界中的影响。
• 将Elk Cloner的设计置于现代恶意软件演进的语境中，突出其在计算机安全史上的奠基性作用。

提出的方法

• 利用作者网站上保存的源代码和磁盘镜像，对Elk Cloner 2.0的6502机器码进行逆向工程。
• 分析Apple II的启动流程，重点关注Boot 0、Boot 1和Boot 2加载器，以及Elk Cloner如何劫持内存驻留的启动序列。
• 将病毒的感染机制与Apple DOS 3.3的磁盘结构对应起来，特别是利用VTOC中未使用的字节实现持久化存储。
• 追踪病毒在多个启动周期中的行为，识别特定触发条件（如第50、55、60、70次启动）以执行有效载荷。
• 评估病毒的隐蔽技术，包括文件类型标识符交换以及通过修改磁盘校准常量来改变磁盘驱动器声音。
• 通过扫描来自公共来源的9,368个Apple II磁盘镜像，开展大规模实证分析，以检测是否存在Elk Cloner感染。

实验结果

研究问题

• RQ1 Elk Cloner如何感染Apple II磁盘？其自我复制与持久化存储的技术机制是什么？
• RQ2 尽管Elk Cloner是首个个人电脑病毒，为何其在发布时未能获得广泛关注或认可？
• RQ3 环境因素（如磁盘类型（主盘与从盘）、用户行为及DOS版本）在多大程度上限制了其传播与可检测性？
• RQ4 Elk Cloner的具体行为特征是什么？这些特征如何促使其具备隐蔽性与低致病性？
• RQ5 在现代Apple II磁盘镜像大规模样本中未发现Elk Cloner，这一现象如何反映其历史影响与传播局限性？

主要发现

• Elk Cloner通过利用Track 17、Sector 0中VTOC的未使用空间，实现对Apple II磁盘的持久化、隐蔽存储。
• 病毒仅在感染与未感染磁盘在同一台计算机中使用时传播，因此其传播范围受限于用户在不同机器间的物理移动。
• 尽管在测试的9,368个磁盘镜像中（其中2,422个为DOS 3.3的从盘）可能有高达25%的感染率，但未发现任何Elk Cloner实例，表明其在现实世界中的传播极为有限。
• Elk Cloner最显著的有效载荷——在第50次启动时打印一首诗——是故意设计为一种轻松、无破坏性的恶作剧，这有助于其低检测率。
• 病毒使用细微、难以察觉的行为，如交换文件类型标识符、改变磁盘驱动器校准声音，仅可能被最敏锐的用户察觉。
• 其缺乏反分析或反检测技术，加之行为的无害性以及对用户行为的依赖，解释了为何在1980年代初尽管具有历史意义，仍被忽视。