Aether

バージョン : 0.9 (安定版リリース)

Aether は、Windows メモリフォレンジックスおよび脅威ハンティングツールです。実行中のプロセスメモリをスキャンして悪意のあるパターンを探し、インジェクション手法、インプラントシグネチャ、リフレクティブロードされた .NET アセンブリを検出します。多層信頼度モデルを採用しており、誤検知率を大幅に削減し、悪意のある動作をハンティングします。Aether は、ホローイング、APC、スレッドハイジャック手法の検出に優れた能力を備えています。セキュリティアナリストは、これを使用して不審な領域をスキャン、ハンティング、スナップショットし、オフライン解析に利用できます。

Docs: https://0xsp.com/docs/aether-getting-started/

研究記事:

https://0xsp.com/security%20research%20%20development%20srd/aether-memory-forensics-and-threat-hunting-tool/

https://0xsp.com/research/game-of-hide-and-seek-detecting-dynamic-api-resolution-at-runtime-with-aether/

コア機能

Aether のコア機能に関する簡単な説明です。詳細については、技術ブログ記事全文をお読みください:

シグネチャスキャン

• バイトパターンマッチング — 先頭バイトインデックス を使用してプロセスメモリ全体を照合し、ナイーブなスキャンより 50〜100 倍高速
• ASCII + UTF-16LE の二重エンコーディング — .NET CLR によって保存された文字列を捕捉します（"msxsl:script" が 6D 00 73 00 78 00 ... になる場合など）
• JSON ファイルからの動的ルールロード — 再コンパイルなしで rules/ に新しいシグネチャを追加できます
• MEM_PRIVATE 領域内の PE ヘッダー検出 — リフレクティブロードされた .NET アセンブリ (MZ + PE + BSJB メタデータ) をフラグ付けします

構造的メモリIOC

Aether は、生のワーキングセットシグナルの上に 5つのフィルター を重ねます。これにより、1つの検出結果が報告される（FPフィルタリング付きで）前に、複数の一致する指標が必要になります。

その他の構造チェック:

• PEB モジュール相互参照 : PEB モジュールリストにない MEM_IMAGE アロケーション（DLLホローイング / モジュールストンピング）
• ワーキングセットスキャン : K32QueryWorkingSetEx による変更コードページの検出。4 KB ページごとではなくリージョンごとに1回の syscall で バッチ処理 されます（ナイーブなループより約 50〜100倍高速）
• Private RWX 検出 : MEM_PRIVATE + PAGE_EXECUTE_*（FP結果を生成します）アロケーションをフラグ付けします（シェルコード、JITスプレー、動的コードスタブアロケーション）
• フックプロローグプローブ — 各プライベートコードページの最初の16バイトを読み取り、古典的な x86/x64 トランポリンを照合します:
  • E9 ?? ?? ?? ?? — JMP rel32
  • FF 25 ?? ?? ?? ?? — JMP [rip+disp32]
  • 68 ?? ?? ?? ?? C3 — PUSH imm32 ; RET
  • 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? FF E0 — MOV RAX, imm64 ; JMP RAX
  • 49 BB ?? ?? ?? ?? ?? ?? ?? ?? 41 FF E3 — Detours スタイルの

スレッド開始アドレス検証 (TSAV / L8)

Aether は、スレッドをより厳格な分類でチェックし、L1〜L5 の検出結果と相互相関させます。対象プロセス内のすべての生成済みスレッドについて、NtQueryInformationThread を介して Win32StartAddress を読み取り、アクセスが許可される場合は GetThreadContext / Wow64GetThreadContext を介してライブの Rip / Eip も読み取ります。各アドレスは次の表のように評価されます。詳細はブログ記事をご覧ください:

これが「start_address が任意のモジュール内にあるか」という基本的なチェックよりも強力な理由:

• VirtualQueryEx クロスチェック — すべてのアドレスは、モジュールリストの線形スキャンではなく、単一の O(1) 呼び出しで Type / Protect / AllocationBase を照会されます
• L1〜L5 との相互相関 — 開始アドレスが既にフラグ付けされたアロケーション内にあるスレッドは、「OK」から TSAV_MODIFIED_HOST に引き上げられます
• PEB 整合性 — 開始アドレスが技術的には「実在する」範囲内にある場合でも、ホローイングされたモジュールを検出します
• サスペンド中 RIP プローブ — Win32StartAddress は NtSetInformationThread を介してプロセスから書き込み可能であり、スプーフィング可能なフィールドです。サスペンドされたスレッドのライブ Rip は、ローダーが簡単に書き換えられない値です。この2つを比較し、不審な領域に解決される不一致をフラグ付けします
• WoW64 対応 — 64ビットプロセス内の32ビットスレッドに対して、自動的に Wow64GetThreadContext に切り替えて Eip を読み取ります
• アクセス権限ラダー — スレッドごとに QUERY_INFORMATION | GET_CONTEXT → QUERY_INFORMATION → へとフォールバックするため、部分的なアクセスしかないシナリオでも有用な分類を生成できます

L9 + L10 - ヒープAPIテーブル検出とクロスモジュール相関

ランタイムAPI解決は、マルウェアが頻繁に使用する手法です。Aether の検出メカニズムは、ヒープをスキャンして有効なモジュールアドレスとポインターを探し、その結果を以下に示すフィルタリング基準と相関させることで、この動作を特定します:

各フィルターは、実際のテレメトリで観測された特定の FP クラスを除去します:

エントロピー分析 & シェルコードヒューリスティック

Aether は現時点ではスタブレベルでの XOR 検出パターンをサポートし、シャノンエントロピーアルゴリズムを採用してメモリ領域内のバイト値のランダム性をチェックし、しきい値を超えるすべてをフラグ付けします。大量の FP に対処するため、Aether は複数の指標を使用します。

C2ビーコン検出

• TCP 接続モニタリング — 対象PIDの GetExtendedTcpTable をポーリングします
• ビーコンパターン検出 — 周期的な短命接続（古典的なC2コールバック動作）を識別します
• 接続テーブル出力 — 状態、エンドポイント、ヒット数、プロトコルを含む整形されたコンソールテーブル

出力モード

• 深刻度ベースの ANSI ハイライト付きカラーコンソールレポート
• SIEM / d-tect.py パイプライン統合のための機械解析可能な JSON
• 段階的疑惑出力 — 各 MODIFIED_CODE_* 検出には private_pages と region_pages が含まれ、トリアージで実際の数値を確認できます
• 接続監視用の Unicode ボックス描画文字を使用したテーブル形式の出力

使用方法

Aether.exe --scan --pid <PID> [OPTIONS]
Aether.exe --scan --lookup "ProcessName.exe"
Aether.exe --hunt <PID> SLEEP_MS PERIOD
Aether.exe --scan-all [OPTIONS]

オプション

コンパイル方法

前提条件

• Zig 0.16 — ここからダウンロード
• クロスコンパイルは任意のホストOS（Linux、macOS、Windows）で動作します

ビルド

git clone https://github.com/0xsp-SRD/aether
cd aether

# Debug build (safety checks enabled)
zig build

# Release build (smaller, faster binary)
zig build -Doptimize=ReleaseSafe
# or
zig build -Doptimize=ReleaseFast

ビルドされた実行可能ファイルは zig-out/bin/Aether.exe に生成されます。

デプロイ

追加のシグネチャスキャンを実行する場合は、zig-out/bin/Aether.exe と rules/ ディレクトリをターゲットの Windows マシンにコピーします。対象プロセスに管理者権限が必要な場合は、Aether.exe を Administrator 権限で実行する必要があります。

制限事項

• ユーザーモードのみ — カーネルドライバなし。ルートキットやカーネルレベルの操作は検出できません
• IPv4のみ — TCP 接続監視は現時点では IPv6 エンドポイントに対応していません。
• L5 ディスク差分にはファイルアクセスが必要 — 元のモジュールファイルが削除されているかロックされている場合、ディスク差分はそのモジュールを静かにスキップします（他のレイヤーは引き続き実行されます）
• TSAV スプーフトランポリンリストはスキャナー自身のプロセス内で解決されます — システムDLLがセッション全体でASLRベースを共有する一般的なケースを捕捉しますが、プロセスごとに固有のベースを持つターゲットは見逃す可能性があります（Win10+ではまれ）
• TSAV RIP プローブはサスペンド中のスレッドのみを捕捉します — 実行中のスレッドに対する Win32StartAddress の書き換えは、プローブ時にそのスレッドがたまたま待機状態にある場合にのみ検出できます（Moneta と同じ制約）
• このリリースのXOR-PE検出は基本的なものです

ライセンス

Aether Community は GNU GPL v3.0 の下でライセンスされています。商用ライセンスは、プロプライエタリまたは商用利用の場合にのみ作者から入手できます。