AMSI-Bypass

Elenchi di trigger AMSI (VBA, JScript / VBScript)

Riferimento : MISC 104 - AMSI: Funzionamento e Bypass

In VBA, JScript e VBScript, AMSI utilizza un buffer circolare per registrare le istruzioni e un elenco di funzioni ritenute sospette. L'uso di una di queste funzioni in blacklist attiva una scansione del buffer circolare da parte dei provider AMSI registrati.

Questo repository contiene gli elenchi dei trigger come checksum CRC32, definiti in VBE7.DLL, jscript.dll e vbscript.dll. Gli elenchi sono in formato CSV, con i checksum e i nomi delle funzioni recuperate.

Nota: Il formato di registrazione (maiuscole/minuscole e codifica) può variare tra VBA, JScript e VBScript e in base al tipo di trigger (API Win32, metodo COM, metodo nativo), influenzando i checksum CRC32.

VBA:

JScript / VBScript

Entrambi usano la stessa blacklist.
I checksum vengono calcolati su DispID o sui nomi delle funzioni COM regolari.

Elenco in jscript.csv