2023 में Windows 11 पर Amsi Bypass

तकनीकी विवरण लेख में पाए जा सकते हैं: https://medium.com/@gustavshen/bypass-amsi-on-windows-11-75d231b2cac6

Attack_AmsiOpenSession.ps1

HRESULT AmsiOpenSession(
[in] HAMSICONTEXT amsiContext,
[out] HAMSISESSION *amsiSession
);

यह PowerShell स्क्रिप्ट AmsiOpenSession को पैच करके AMSI को बायपास करने के लिए उपयोग की जा सकती है। असेंबली कोड के अनुसार, यदि निम्नलिखित में से कोई भी शर्त पूरी होती है, तो फ़ंक्शन E_INVALIDARG त्रुटि के साथ बाहर निकल जाएगा।

1. RCX 0 है
2. RDX 0 है
3. HAMSICONTEXT संरचना का दूसरा QWORD 0 है
4. HAMSICONTEXT संरचना का तीसरा QWORD 0 है

यह स्क्रिप्ट RCX को 0 पर सेट करके AmsiOpenSession को पैच करती है।

AmsiOpenSession को पैच करना Assembly.Load() के लिए AMSI को बायपास नहीं कर सकता है

Attack_AmsiScanBuffer.ps1