AMSI-Bypass

Listen zu AMSI-Triggern (VBA, JScript / VBScript)

Referenz : MISC 104 - AMSI: Fonctionnement et Contournements

In VBA, JScript und VBScript verwendet AMSI einen ringförmigen Puffer, um Anweisungen zu protokollieren, sowie eine Liste von als verdächtig geltenden Funktionen. Die Verwendung einer dieser auf der Blacklist stehenden Funktionen löst bei registrierten AMSI-Anbietern einen Scan des ringförmigen Puffers aus.

Dieses Repository enthält die Listen der Trigger als CRC32-Prüfsummen, wie sie in VBE7.DLL, jscript.dll und vbscript.dll definiert sind. Die Listen liegen im CSV-Format vor und enthalten die Prüfsummen sowie die ermittelten Funktionsnamen.

Hinweis: Das Protokollierungsformat (Groß-/Kleinschreibung und Kodierung) kann zwischen VBA, JScript und VBScript sowie je nach Trigger-Typ (Win32-API, COM-Methode, native Methode) variieren, was sich auf die CRC32-Prüfsummen auswirkt.

VBA:

JScript / VBScript

Beide verwenden dieselbe Blacklist.
Die Prüfsummen werden entweder für DispID oder für reguläre COM-Funktionsnamen berechnet.

Liste in jscript.csv