Contournement d'AMSI sur Windows 11 en 2023

Les détails techniques se trouvent dans l'article : https://medium.com/@gustavshen/bypass-amsi-on-windows-11-75d231b2cac6

Attack_AmsiOpenSession.ps1

HRESULT AmsiOpenSession(
[in] HAMSICONTEXT amsiContext,
[out] HAMSISESSION *amsiSession
);

Ce script PowerShell peut être utilisé pour contourner AMSI en patchant AmsiOpenSession. D'après les codes assembleur, si l'une des conditions suivantes est remplie, la fonction se terminera avec l'erreur E_INVALIDARG.

1. RCX est 0
2. RDX est 0
3. Le 2e QWORD de la structure HAMSICONTEXT est 0
4. Le 3e QWORD de la structure HAMSICONTEXT est 0

Ce script patche AmsiOpenSession en définissant RCX à 0.

Patcher AmsiOpenSession ne permet pas de contourner AMSI pour Assembly.Load()

Attack_AmsiScanBuffer.ps1

HRESULT AmsiScanBuffer(
[in] HAMSICONTEXT amsiContext,
[in] PVOID buffer,
[in] ULONG length,
[in] LPCWSTR contentName,
[in, optional] HAMSISESSION amsiSession,
[out] AMSI_RESULT *result
);

Ce script PowerShell peut être utilisé pour contourner AMSI en patchant AmsiScanBuffer. Le script patche AmsiScanBuffer en définissant RAX à la valeur de l'erreur E_INVALIDARG et en retournant immédiatement.

Patcher AmsiScanBuffer permet de contourner AMSI pour Assembly.Load()

one-liner-payload.md

Ce fichier contient des payloads one-liner qui peuvent être utilisés dans la session PowerShell actuelle et contourner immédiatement AMSI. Cependant, cela ne permet pas de contourner AMSI pour Assembly.Load().

Les détails se trouvent dans ce fichier.