synacktiv/amsi-bypassAMSI ट्रिगर्स की सूचियाँ (VBA, JScript / VBScript)
AMSI ट्रिगर्स की सूचियाँ (VBA, JScript / VBScript)
संदर्भ : MISC 104 - AMSI: कार्यप्रणाली और बाईपास
VBA, JScript और VBScript में, AMSI निर्देशों को लॉग करने के लिए एक सर्कुलर बफ़र और संदिग्ध माने जाने वाले फ़ंक्शनों की एक सूची का उपयोग करता है। उन ब्लैकलिस्टेड फ़ंक्शनों में से किसी एक का उपयोग पंजीकृत AMSI प्रदाताओं द्वारा सर्कुलर बफ़र की स्कैनिंग को ट्रिगर करता है।
इस रिपॉजिटरी में ट्रिगर्स की सूचियाँ CRC32 चेकसम के रूप में हैं, जो VBE7.DLL, jscript.dll और vbscript.dll में परिभाषित हैं। सूचियाँ CSV प्रारूप में हैं, जिनमें चेकसम और प्राप्त फ़ंक्शन नाम शामिल हैं।
नोट: लॉगिंग प्रारूप (केस और एन्कोडिंग) VBA, JScript और VBScript के बीच और ट्रिगर के प्रकार (Win32 API, COM विधि, नेटिव विधि) के आधार पर भिन्न हो सकता है, जिससे CRC32 चेकसम प्रभावित होते हैं।
| प्रकार | विवरण | फ़ाइल |
|---|---|---|
| Win32 API | UTF-8 और केस संरक्षित | vba_win32.csv |
| COM विधियाँ | UTF-16LE और लोअरकेस | vba_com.csv |
दोनों एक ही ब्लैकलिस्ट का उपयोग करते हैं।
चेकसम की गणना या तो DispID या सामान्य COM फ़ंक्शन नामों पर की जाती है।
| प्रकार | विवरण |
|---|---|
| DispID | UTF-16LE जिसमें _ उपसर्ग होता है |
| नाम | UTF-16LE और केस संरक्षित |
सूची jscript.csv में है
