Glossaire
AMSI (Antimalware Scan Interface)
Interface Windows permettant à l'antivirus d'analyser le contenu des scripts à l'exécution, y compris PowerShell ; les attaquants tentent de la désactiver en mémoire.
L'Antimalware Scan Interface (AMSI) permet à Windows Defender et à d'autres antivirus d'analyser le contenu des scripts au moment de leur exécution, déjouant l'obfuscation simple. PowerShell 5 sous Windows 10 soumet les blocs de script à AMSI avant exécution.
Comme AMSI s'exécute dans le même processus que le script, les attaquants cherchent à le neutraliser — par exemple en positionnant le champ amsiInitFailed pour que le processus ignore l'analyse, ou en corrigeant AmsiScanBuffer en mémoire. Un texte faisant référence à AmsiUtils, amsiInitFailed ou AmsiScanBuffer est un fort indicateur de contournement d'AMSI, que ce parseur signale. Voir décodage et détections.