synacktiv/amsi-bypassListas de disparadores de AMSI (VBA, JScript / VBScript)
Listas de disparadores de AMSI (VBA, JScript / VBScript)
Referencia : MISC 104 - AMSI: Fonctionnement et Contournements
En VBA, JScript y VBScript, AMSI usa un búfer circular para registrar instrucciones y una lista de funciones consideradas sospechosas. El uso de una de esas funciones en la lista negra activa un análisis del búfer circular por parte de los proveedores de AMSI registrados.
Este repositorio contiene las listas de disparadores como sumas de comprobación CRC32, definidas en VBE7.DLL, jscript.dll y vbscript.dll. Las listas están en formato CSV, con las sumas de comprobación y los nombres de funciones recuperados.
Nota: El formato de registro (mayúsculas/minúsculas y codificación) puede diferir entre VBA, JScript y VBScript y según el tipo de disparador (API Win32, método COM, método nativo), lo que afecta a las sumas de comprobación CRC32.
| Tipo | Detalles | Archivo |
|---|---|---|
| API Win32 | UTF-8 y se preserva el uso de mayúsculas/minúsculas | vba_win32.csv |
| Métodos COM | UTF-16LE y en minúsculas | vba_com.csv |
Ambos usan la misma lista negra.
Las sumas de comprobación se calculan sobre los nombres de funciones DispID o COM normales.
| Tipo | Detalles |
|---|---|
| DispID | UTF-16LE prefijado con _ |
| Nombres | UTF-16LE y se preserva el uso de mayúsculas/minúsculas |
Lista en jscript.csv
