Aether : prouver que vos contrôles de sécurité résistent aux variations des attaques modernes

L'infrastructure de sécurité est souvent validée à partir d'artefacts connus : un fichier stable, une signature reproductible ou un schéma d'exécution familier. C'est nécessaire, mais insuffisant. Les attaquants modernes modifient la représentation tout en cherchant à conserver leur intention : l'organisation du code change, les encodages diffèrent et le flux de contrôle prend une autre forme. Un contrôle qui ne reconnaît qu'une forme figée peut créer une confiance dangereuse.

La bonne question pour une équipe de détection n'est donc pas seulement de savoir si elle a détecté un échantillon. Elle est de savoir si son architecture de sécurité voit encore le scénario approuvé lorsque la forme de son code évolue de manière contrôlée. Aether a été conçu pour répondre à cette question avec des preuves plutôt qu'avec de l'intuition.

Aether est le framework de recherche métamorphique x86-64 de Macstab pour les laboratoires de sécurité autorisés. Il génère des variantes de code contrôlées selon une politique guidée par l'analyse, puis vérifie que le domaine d'équivalence documenté n'a pas été rompu. Les ingénieurs sécurité disposent ainsi d'une entrée de test fiable : la représentation peut varier, mais le comportement attendu reste prouvé.

Cette distinction est essentielle. Si une détection cesse de fonctionner après une variation vérifiée comme équivalente, le résultat révèle un écart de couverture ou de robustesse dans le chemin de détection, et non une modification non maîtrisée du cas de test. Le framework prend en charge une représentation pédagogique au niveau des opérations ainsi qu'un chemin de fonctions réelles issu du désassemblage, dans les limites de son périmètre défini.

Aether ne demande pas à une équipe sécurité de croire qu'une variante générée est inoffensive ou comparable. Sa scorecard documentée fait des portes de qualité une partie du produit : les contrôles d'unicité établissent une diversité pratique, les contrôles d'équivalence imposent zéro rupture sémantique dans le domaine de test pris en charge, les contrôles structurels préservent l'analysabilité des fonctions extraites et la porte de benchmark produit un rapport sur le corpus documenté.

Le contrat de périmètre est volontairement concret : x86-64, un corpus d'équivalence d'au moins 1 000 fonctions pures prises en charge et des contrôles d'intégrité structurelle sur au moins 200 fonctions extraites d'ELF. Un oracle dual natif de laboratoire ajoute une vérification d'exécution indépendante dans les environnements x86-64 pris en charge. Ces limites rendent les résultats utiles sans promettre plus que le framework ne peut étayer.

Utilisé de manière responsable, Aether aide une organisation de sécurité à dépasser une démonstration binaire de réussite ou d'échec. Il propose une méthode reproductible pour mettre à l'épreuve les hypothèses des règles analytiques, des pipelines de scan et des workflows de détection en laboratoire. Partez d'un scénario autorisé et bien compris ; définissez les preuves que votre contrôle doit produire ; exécutez le corpus de variantes approuvé dans le pipeline et utilisez les rapports pour interpréter le résultat.

La variation avancée devient ainsi une boucle de retour d'ingénierie. Les ingénieurs de détection peuvent identifier les signaux fragiles, les équipes de plateforme peuvent valider l'observabilité et la réponse, et les responsables sécurité peuvent exiger des preuves que les contrôles résistent à des changements de forme pertinents, et non seulement au premier échantillon présenté.

Les techniques d'attaque évoluent, et un programme défensif mature doit faire évoluer la manière dont il vérifie sa couverture. Aether permet aux équipes de modéliser de façon sûre certains aspects de la variation du code sans transformer la recherche en capacité opérationnelle. Son objectif est de rendre les tests défensifs plus réalistes, mesurables et reproductibles.

Aether n'est pas présenté comme un implant indétectable, un produit de contournement d'EDR de production ou un réécriteur binaire universel. Son périmètre documenté exclut la propagation automatique, le commandement et contrôle réseau, l'injection de processus et les promesses d'opération invisible. Ces limites sont précisément ce qui le rend crédible pour les organisations responsables : elles aident à trouver et corriger les écarts de couverture avant qu'ils ne deviennent un incident.