AMSI-ETW-Patch

このリポジトリには、AMSI と ETW の両方を1バイトパッチでパッチするための情報が含まれています。

アイデアは、単一バイトであるためパッチ自体の検出を制限することでした。

AMSI (patch-amsi-x64.c)

アイデアは、AMSI が重要な AMSI「チェック」コードに到達する前に多くの検証チェックを行うことです。jz を jnz に、またはその逆に単純に切り替えることができます。

amsi1

上の図の赤い矢印は、重要なコードが配置されている場所を示しています。

amsi2

重要なコードを呼び出さないように切り替えられるチェックの例です。

この場合、cmp dword ptr [rbx], 49534d41h の後の jnz をパッチします。

パッチは単純に AmsiScanBuffer + 0x83 = 0x74 (x64) のアドレスです。

EtwEventWrite をパッチする代わりに、多くの関数から呼び出される syscall を単純にパッチします。