AMSI.fail

في الأصل دالة Azure بلغة C# (تم نقلها لاحقًا إلى JS) مع مشغل HTTP يُنشئ مقاطع PowerShell مبهمة تعمل على كسر أو تعطيل AMSI للعملية الحالية.
يتم اختيار المقاطع عشوائيًا من مجموعة صغيرة من التقنيات/الاختلافات قبل إبهامها. يتم إبهام كل مقطع في وقت التشغيل/الطلب بحيث لا تشارك أي مخرجات مُولّدة نفس التوقيعات.

تفقّد https://amsi.fail/ للحصول على عرض توضيحي حي وعملي!

ما هو AMSI؟

كما شرحته F-Secure في إحدى مقالاتهم الممتازة:

AMSI هي واجهة يمكن للتطبيقات أو الخدمات (بما في ذلك الجهات الخارجية) من خلالها فحص محتوى النص بحثًا عن الاستخدام الضار. إذا تم تسجيل توقيع في النص بواسطة مزود خدمة مكافحة البرامج الضارة لـ AMSI (Windows Defender افتراضيًا)، فسيتم حظره.
لوضع هذا في سياقه، ضع في اعتبارك الخطوات التالية التي يتخذها PowerShell للاندماج مع AMSI:

• عند إنشاء عملية PowerShell، يتم تحميل AMSI.DLL من القرص إلى مساحة عنوانها.
• داخل AMSI.DLL، توجد دالة تُعرف باسم AmsiScanBuffer()، وهي الدالة المستخدمة بشكل أساسي لفحص محتوى النص.
• في موجه أوامر PowerShell، سيتم إرسال أي محتوى مُقدم أولاً إلى AmsiScanBuffer()، قبل تنفيذ أي إجراء.
• بعد ذلك، ستتحقق AmsiScanBuffer() من برنامج مكافحة الفيروسات المسجل لتحديد ما إذا تم إنشاء أي توقيعات.
• إذا اعتُبر المحتوى ضارًا، فسيتم حظره.

نظرًا لأن AMSI يعتمد على التحميل داخل العملية التي تنفذ النص الفعلي، فإن تقنيات كسر أو تصحيح وظائف محددة داخل amsi.dll معروفة جيدًا.

المساهمون / الشكر

• شكر خاص لـ @S3cur3Th1sSh1t لإضافة تجاوز C# من @rasta-mouse
• وشكر كبير جدًا لـ @MartinIngesen لنقل مشروع C# إلى JS، مما قلل التكلفة وزاد السرعة!