AMSI-Bypass

Списки триггеров AMSI (VBA, JScript / VBScript)

Ссылка : MISC 104 - AMSI: Fonctionnement et Contournements

В VBA, JScript и VBScript AMSI использует циклический буфер для журналирования инструкций и список предположительно подозрительных функций. Использование одной из таких внесённых в чёрный список функций вызывает сканирование циклического буфера зарегистрированными AMSI-провайдерами.

Этот репозиторий содержит списки триггеров в виде контрольных сумм CRC32, определённых в VBE7.DLL, jscript.dll и vbscript.dll. Списки представлены в формате CSV и содержат контрольные суммы и извлечённые имена функций.

Примечание: Формат журналирования (регистр и кодировка) может отличаться между VBA, JScript и VBScript, а также в зависимости от типа триггера (Win32 API, COM-метод, нативный метод), что влияет на контрольные суммы CRC32.

VBA:

JScript / VBScript

Оба используют один и тот же чёрный список.
Контрольные суммы вычисляются либо для DispID, либо для обычных имён COM-функций.

Список в jscript.csv