AMSI.fail

元々はC#のAzure Functions（後にJSに移植）で、HTTPトリガーにより、現在のプロセスのAMSIを破壊または無効化する難読化されたPowerShellスニペットを生成します。 スニペットは、難読化される前に少数のテクニック/バリエーションのプールからランダムに選択されます。すべてのスニペットは実行時/リクエスト時に難読化されるため、生成された出力が同じシグネチャを持つことはありません。

ライブで動作するデモは https://amsi.fail/ をご覧ください！

AMSIとは何か？

f-secureが彼らの優れたブログ記事:で説明しているように、

AMSIは、アプリケーションやサービス（サードパーティ製も含む）がスクリプトの内容を悪意のある使用がないかスキャンできるようにするインターフェースです。スクリプト内のシグネチャがAMSIのアンチマルウェアサービスプロバイダ（デフォルトではWindows Defender）によって登録されている場合、そのスクリプトはブロックされます。 これを理解するために、PowerShellがAMSIと統合する手順を考えてみましょう：

• PowerShellプロセスが作成されると、AMSI.DLLがディスクからそのアドレス空間にロードされます。
• AMSI.DLL内には、AmsiScanBuffer()と呼ばれる関数があります。これは基本的にスクリプトの内容をスキャンするために使用される関数です。
• PowerShellのコマンドプロンプトでは、提供された内容はまずAmsiScanBuffer()に送られ、その後実行が行われます。
• その後、AmsiScanBuffer()は登録されたアンチウイルスと照会し、シグネチャが作成されているかどうかを判断します。
• 内容が悪意があると判断された場合、ブロックされます。

AMSIは実際のスクリプトを実行するプロセス内にロードされることに依存しているため、amsi.dll内の特定の関数を破壊したりパッチするテクニックはよく知られています。

貢献者 / 称賛

• @S3cur3Th1sSh1t氏に特に感謝します。@rasta-mouseのC#バイパスを追加してくれました。
• また、@MartinIngesen氏に多大な感謝を捧げます。C#プロジェクトをJSに移植し、コスト削減と速度向上を実現しました。