Glossar
AMSI (Antimalware Scan Interface)
Windows-Schnittstelle, über die Skript-Engines und Anwendungen Inhalte vor der Ausführung an das installierte Antimalware-Produkt zur Prüfung übergeben.
Das Antimalware Scan Interface (AMSI) ist eine Windows-API, über die Anwendungen Inhalte zur Laufzeit an den registrierten Antimalware-Anbieter, etwa Microsoft Defender, zur Prüfung übergeben. Ihr Wert liegt darin, dass sie den Code nach der Deobfuskation sieht: PowerShell übermittelt jeden Skriptblock unmittelbar vor der Ausführung, sodass Base64-kodierte, direkt in den Arbeitsspeicher geladene oder aus Zeichenketten zusammengesetzte Inhalte in ihrer endgültigen Form geprüft werden. Ebenfalls angebunden sind Windows Script Host (VBScript und JScript), Office-VBA-Makros, Excel-4.0-Makros, das Laden von .NET-Assemblys im Arbeitsspeicher und Rechteerhöhungen über die Benutzerkontensteuerung; auch Drittanwendungen können die API aufrufen.
AMSI ist eine zentrale Verteidigungslinie gegen dateilose Malware und bösartige Skripte. Angreifer versuchen daher, es zu umgehen – meist, indem sie AmsiScanBuffer im eigenen Prozess patchen oder auf PowerShell 2.0 herabstufen, das AMSI nicht unterstützt. Entfernen Sie das Feature PowerShell 2.0, halten Sie den Defender-Schutz aktuell, aktivieren Sie die Skriptblockprotokollierung, die denselben deobfuskierten Inhalt aufzeichnet, und alarmieren Sie bei bekannten Umgehungszeichenfolgen.
Siehe Bösartige PowerShell erkennen und PowerShell-Protokollierung und Constrained Language Mode.