synacktiv/amsi-bypassListes de déclencheurs AMSI (VBA, JScript / VBScript)
Listes de déclencheurs AMSI (VBA, JScript / VBScript)
Référence : MISC 104 - AMSI: Fonctionnement et Contournements
En VBA, JScript et VBScript, AMSI utilise un tampon circulaire pour journaliser les instructions et une liste de fonctions considérées comme suspectes. L'utilisation de l'une de ces fonctions de la liste noire déclenche une analyse du tampon circulaire par les fournisseurs AMSI enregistrés.
Ce dépôt contient les listes de déclencheurs sous forme de sommes de contrôle CRC32, définies dans VBE7.DLL, jscript.dll et vbscript.dll. Les listes sont au format CSV, avec les sommes de contrôle et les noms de fonctions récupérés.
Note : Le format de journalisation (casse et encodage) peut différer entre VBA, JScript et VBScript et selon le type de déclencheur (API Win32, méthode COM, méthode native), ce qui affecte les sommes de contrôle CRC32.
| Type | Détails | Fichier |
|---|---|---|
| Win32 API | UTF-8 et casse préservée | vba_win32.csv |
| Méthodes COM | UTF-16LE et minuscules | vba_com.csv |
Les deux utilisent la même liste noire.
Les sommes de contrôle sont calculées sur les noms de fonctions COM classiques ou sur les DispID.
| Type | Détails |
|---|---|
| DispID | UTF-16LE préfixé par _ |
| Noms | UTF-16LE et casse préservée |
Liste dans jscript.csv
