AMSI-Bypass

AMSIトリガーの一覧（VBA、JScript / VBScript）

参考 : MISC 104 - AMSI: 仕組みと回避方法

VBA、JScript、VBScriptでは、AMSIは命令を記録するための循環バッファと、疑わしいと推測される関数のリストを使用します。ブラックリストに登録された関数のいずれかが使用されると、登録済みのAMSIプロバイダーによる循環バッファのスキャンがトリガーされます。

このリポジトリには、VBE7.DLL、jscript.dll、vbscript.dllで定義されているCRC32チェックサム形式のトリガーリストが含まれています。リストはCSV形式で、チェックサムと取得された関数名が含まれます。

注記: ログの形式（大文字小文字とエンコーディング）は、VBA、JScript、VBScriptの間、およびトリガーの種類（Win32 API、COMメソッド、ネイティブメソッド）によって異なる場合があり、CRC32チェックサムに影響を与えます。

VBA:

種類	詳細	ファイル
Win32 API	UTF-8、大文字小文字を保持	vba_win32.csv
COMメソッド	UTF-16LE、小文字	vba_com.csv

JScript / VBScript

両方とも同じブラックリストを使用します。
チェックサムは、DispIDまたは通常のCOM関数名のいずれかに対して計算されます。

種類	詳細
DispID	_ を前置した UTF-16LE
名前	UTF-16LE、大文字小文字を保持

リストは jscript.csv にあります。