Aether

version : 0.9 (안정 버전)

Aether는 라이브 프로세스 메모리에서 악성 패턴을 스캔하고, 인젝션 기법, 임플란트 시그니처, 리플렉티브 로드된 .NET 어셈블리를 탐지하는 Windows 메모리 포렌식 및 위협 헌팅 도구입니다. 다중 계층 신뢰도 모델(multi-layer confidence model)을 사용하여 오탐(false positive)률을 크게 줄이고 악성 행위를 탐지합니다. Aether는 할로잉(Hollowing), APC, 스레드 하이재킹 기법 탐지에 뛰어난 역량을 갖추고 있습니다. 보안 분석가는 이 도구를 사용하여 의심스러운 영역을 스캔·헌팅하고, 오프라인 분석을 위해 스냅샷을 캡처할 수 있습니다.

문서: https://0xsp.com/docs/aether-getting-started/

연구 문서:

https://0xsp.com/security%20research%20%20development%20srd/aether-memory-forensics-and-threat-hunting-tool/

https://0xsp.com/research/game-of-hide-and-seek-detecting-dynamic-api-resolution-at-runtime-with-aether/

핵심 기능

Aether 핵심 기능에 대한 간략한 설명입니다. 더 자세한 내용은 전체 기술 블로그 포스트를 참조하세요:

시그니처 스캔

• 프로세스 메모리 전반에 걸친 바이트 패턴 매칭 — 퍼스트 바이트 인덱스를 사용해 단순 스캔 대비 50~100배 속도 향상
• ASCII + UTF-16LE 이중 인코딩 — .NET CLR이 저장한 문자열을 탐지 ("msxsl:script"가 6D 00 73 00 78 00 ...로 저장되는 경우)
• JSON 파일의 동적 규칙 로딩 — 재컴파일 없이 rules/에 새 시그니처 추가
• MEM_PRIVATE 영역의 PE 헤더 탐지 — 리플렉티브 로드된 .NET 어셈블리 플래그 지정 (MZ + PE + BSJB 메타데이터)

구조적 메모리 IOC

Aether는 원시 작업 집합(working-set) 신호 위에 다섯 개의 필터를 계층화하여, 하나의 탐지 결과가 보고되기 전에 여러 지표가 일치해야 하도록 FP 필터링을 적용합니다:

기타 구조적 검사:

• PEB 모듈 교차 참조: PEB 모듈 목록에 없는 MEM_IMAGE 할당 (DLL 할로잉 / 모듈 스톰핑)
• 작업 집합 스캔: K32QueryWorkingSetEx를 통한 수정된 코드 페이지 탐지. 4KB 페이지마다가 아니라 영역마다 한 번의 syscall로 일괄 처리 (단순 루프보다 약 50~100배 빠름)
• 프라이빗 RWX 탐지: 오탐(FP) 결과가 발생할 수 있는 MEM_PRIVATE + PAGE_EXECUTE_* 할당을 플래그 처리 (셸코드, JIT 스프레이, 동적 코드 스텁 할당)
• 훅 프롤로그 프로브 — 각 프라이빗 코드 페이지의 처음 16바이트를 읽고 클래식 x86/x64 트램펄린과 매칭:
  • E9 ?? ?? ?? ?? — JMP rel32
  • FF 25 ?? ?? ?? ?? — JMP [rip+disp32]
  • 68 ?? ?? ?? ?? C3 — PUSH imm32 ; RET
  • 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? FF E0 — MOV RAX, imm64 ; JMP RAX
  • 49 BB ?? ?? ?? ?? ?? ?? ?? ?? 41 FF E3 — Detours 스타일

스레드 시작 주소 검증(TSAV / L8)

Aether는 더 엄격한 분류와 L1~L5 탐지 결과와의 교차 상관 관계로 스레드를 검사합니다. 대상 프로세스의 모든 생성된 스레드에 대해 Aether는 NtQueryInformationThread를 통해 Win32StartAddress를 읽고, 접근이 허용되면 GetThreadContext / Wow64GetThreadContext를 통해 라이브 Rip / Eip도 읽습니다. 그런 다음 각 주소는 아래 표와 같이 등급이 매겨집니다. 자세한 내용은 블로그 포스트를 참조하세요:

이 방식이 "start_address가 어떤 모듈에 있는지"만 확인하는 기본 검사보다 강력한 이유:

• VirtualQueryEx 교차 검사 — 모든 주소는 모듈 목록에 대한 선형 스캔 대신 단일 O(1) 호출로 Type / Protect / AllocationBase를 조회
• L1~L5와의 교차 상관 관계 — 시작 주소가 이미 플래그된 할당 내부에 있는 스레드는 "OK"에서 TSAV_MODIFIED_HOST로 승격
• PEB 일관성 — 시작 주소가 기술적으로 "실제" 범위에 속하더라도 할로잉된 모듈 탐지
• 일시 중단 RIP 프로브 — Win32StartAddress는 NtSetInformationThread를 통해 프로세스에서 쓸 수 있으며 스푸핑 가능한 필드입니다. 일시 중단된 스레드의 라이브 Rip은 로더가 쉽게 다시 쓸 수 없는 값입니다. 둘을 비교하여 의심스러운 영역으로 확인되는 불일치를 플래그합니다.
• WoW64 인지 — 64비트 프로세스 내부의 32비트 스레드에 대해 자동으로 Wow64GetThreadContext로 전환하여 Eip를 읽음
• 접근 권한 단계 — 스레드별로 QUERY_INFORMATION | GET_CONTEXT → QUERY_INFORMATION → 순으로 폴백하므로 부분 접근 시나리오에서도 유용한 분류를 생성

L9 + L10 - 교차 모듈 상관 관계를 통한 힙 API 테이블 탐지

런타임 API 해석(resolution)은 악성코드가 자주 사용하는 기법입니다. Aether 탐지 메커니즘은 힙에서 유효한 모듈 주소와 포인터를 스캔하고, 그 결과를 아래 설명된 필터링 기준과 연관지어 이 동작을 식별합니다:

각 필터는 실제 텔레메트리에서 관찰된 특정 FP(오탐) 클래스를 제거합니다:

엔트로피 분석 및 셸코드 휴리스틱

Aether는 현재 스텁 수준의 XOR 탐지 패턴을 지원하며, 메모리 영역 내 바이트 값의 무작위성을 확인하기 위해 Shannon 엔트로피 알고리즘을 채택하여 임계값을 초과하는 모든 항목을 플래그합니다. 높은 오탐(FP) 발생을 해결하기 위해 Aether는 여러 지표를 사용합니다.

C2 비콘 탐지

• TCP 연결 모니터링 — 대상 PID에 대해 GetExtendedTcpTable을 폴링
• 비콘 패턴 탐지 — 주기적인 단기 연결 식별 (전형적인 C2 콜백 동작)
• 연결 테이블 출력 — 상태, 엔드포인트, 히트 수, 프로토콜로 구성된 콘솔 테이블 형식

출력 모드

• 심각도 기반 ANSI 하이라이트를 적용한 컬러 콘솔 리포트
• SIEM / d-tect.py 파이프라인 통합을 위한 기계 파싱 가능 JSON
• 등급화된 의심도 출력 — 각 MODIFIED_CODE_* 탐지 항목에 private_pages와 region_pages가 포함되어 트라이애지(triage)에 실제 수치 제공
• 연결 모니터링을 위한 유니코드 박스 드로잉 문자를 사용한 테이블 형식 출력

사용법

Aether.exe --scan --pid <PID> [OPTIONS]
Aether.exe --scan --lookup "ProcessName.exe"
Aether.exe --hunt <PID> SLEEP_MS PERIOD
Aether.exe --scan-all [OPTIONS]

옵션

컴파일 방법

사전 요구 사항

• Zig 0.16 — 여기에서 다운로드
• 모든 호스트 OS(Linux, macOS, Windows)에서 크로스 컴파일 가능

빌드

git clone https://github.com/0xsp-SRD/aether
cd aether

# Debug build (safety checks enabled)
zig build

# Release build (smaller, faster binary)
zig build -Doptimize=ReleaseSafe
# or
zig build -Doptimize=ReleaseFast

빌드된 실행 파일은 zig-out/bin/Aether.exe에 생성됩니다.

배포

추가 시그니처 스캔을 수행하려면 zig-out/bin/Aether.exe와 rules/ 디렉터리를 대상 Windows 머신에 복사하세요. 대상 프로세스에 관리자 권한이 필요한 경우 Aether.exe를 관리자 권한으로 실행해야 합니다.

제한 사항

• 사용자 모드 전용 — 커널 드라이버가 없으므로 루트킷이나 커널 수준 조작은 탐지할 수 없음
• IPv4 전용 — TCP 연결 모니터링은 현재 IPv6 엔드포인트를 지원하지 않음
• L5 디스크 diff는 파일 접근이 필요 — 원본 모듈 파일이 삭제되었거나 잠겨 있으면 온디스크 diff는 해당 모듈을 조용히 건너뜀 (다른 레이어는 계속 실행됨)
• TSAV 스푸프 트램펄린 목록은 스캐너 자체 프로세스에서 해석됨 — 시스템 DLL이 세션 전체에서 ASLR 베이스를 공유하는 일반적인 경우는 탐지하지만 프로세스별 고유 베이스를 가진 대상은 놓칠 수 있음 (Win10+에서 드묾)
• TSAV RIP 프로브는 일시 중단된 스레드만 탐지 — 이미 실행 중인 스레드의 Win32StartAddress 재작성은 프로브 시점에 스레드가 우연히 대기 상태에 머물러 있는 경우에만 탐지 가능 (Moneta와 동일한 제약)
• 이번 릴리스의 XOR-PE 탐지는 기본 수준

라이선스

Aether Community는 GNU GPL v3.0에 따라 라이선스가 부여됩니다. 상업용 라이선스는 독점(proprietary) 또는 상업적 사용을 위해 작성자에게서만 획득할 수 있습니다.