Glosario
AMSI (Antimalware Scan Interface)
Una interfaz de Windows que permite al antivirus analizar el contenido de los scripts en tiempo de ejecución, incluido PowerShell; los atacantes intentan desactivarla dentro del propio proceso.
La Antimalware Scan Interface (AMSI) permite a Windows Defender y a otros antivirus analizar el contenido de los scripts mientras se ejecutan, lo que neutraliza la ofuscación sencilla. PowerShell 5 en Windows 10 envía los bloques de script a AMSI antes de ejecutarlos.
Como AMSI se ejecuta en el mismo proceso que el script, los atacantes intentan anularla, por ejemplo estableciendo el campo amsiInitFailed para que el proceso omita el análisis, o parcheando AmsiScanBuffer en memoria. Un texto que hace referencia a AmsiUtils, amsiInitFailed o AmsiScanBuffer es un indicio sólido de una evasión de AMSI, que este parser señala. Consulte decodificación y hallazgos.