AMSI-Bypass

Listas de gatilhos do AMSI (VBA, JScript / VBScript)

Referência : MISC 104 - AMSI: Fonctionnement et Contournements

No VBA, no JScript e no VBScript, o AMSI usa um buffer circular para registrar instruções e uma lista de funções consideradas suspeitas. O uso de uma dessas funções na lista negra aciona uma varredura do buffer circular pelos provedores de AMSI registrados.

Este repositório contém as listas de gatilhos como checksums CRC32, definidos em VBE7.DLL, jscript.dll e vbscript.dll. As listas estão em formato CSV, com os checksums e os nomes das funções recuperados.

Nota: O formato de registro (maiúsculas/minúsculas e codificação) pode diferir entre VBA, JScript e VBScript e com o tipo de gatilho (API Win32, método COM, método nativo), afetando os checksums CRC32.

VBA:

JScript / VBScript

Ambos usam a mesma lista negra.
Os checksums são calculados sobre os nomes de funções DispID ou funções COM regulares.

Lista em jscript.csv