AMSI-Bypass

AMSI 트리거 목록 (VBA, JScript / VBScript)

참고 : MISC 104 - AMSI: Fonctionnement et Contournements

VBA, JScript 및 VBScript에서 AMSI는 순환 버퍼를 사용하여 명령을 기록하고 의심스러운 것으로 간주되는 함수 목록을 유지합니다. 블랙리스트에 등록된 함수 중 하나를 사용하면 등록된 AMSI 공급자가 순환 버퍼에 대한 검사를 트리거합니다.

이 저장소에는 VBE7.DLL, jscript.dll 및 vbscript.dll에 정의된 CRC32 체크섬 형태의 트리거 목록이 포함되어 있습니다. 목록은 CSV 형식이며, 체크섬과 검색된 함수 이름이 포함됩니다.

참고: 로깅 형식(대소문자 및 인코딩)은 VBA, JScript 및 VBScript 간에, 그리고 트리거 유형(Win32 API, COM 메서드, 네이티브 메서드)에 따라 달라질 수 있으며, 이로 인해 CRC32 체크섬이 영향을 받을 수 있습니다.

VBA:

JScript / VBScript

둘 다 동일한 블랙리스트를 사용합니다.
체크섬은 DispID 또는 일반 COM 함수 이름을 기준으로 계산됩니다.

목록은 jscript.csv에 있습니다.