Glossar
AMSI (Antimalware Scan Interface)
Eine Windows-Schnittstelle, über die Virenschutzprogramme Skriptinhalte zur Laufzeit prüfen können, auch PowerShell; Angreifer versuchen, sie innerhalb des Prozesses auszuschalten.
Das Antimalware Scan Interface (AMSI) ermöglicht es Windows Defender und anderen Virenschutzlösungen, den Inhalt von Skripten während ihrer Ausführung zu prüfen und so einfache Obfuskation auszuhebeln. PowerShell 5 unter Windows 10 übergibt Skriptblöcke vor der Ausführung an AMSI.
Da AMSI im selben Prozess wie das Skript läuft, versuchen Angreifer, es unschädlich zu machen – etwa indem sie das Feld amsiInitFailed setzen, damit der Prozess die Prüfung überspringt, oder indem sie AmsiScanBuffer im Speicher patchen. Text, der auf AmsiUtils, amsiInitFailed oder AmsiScanBuffer verweist, ist ein starker Hinweis auf eine AMSI-Umgehung, die dieser Parser markiert. Siehe Dekodierung und Befunde.