Glosario
AMSI (Antimalware Scan Interface)
Interfaz de Windows que permite a los motores de scripts y a las aplicaciones enviar contenido al antimalware instalado para analizarlo antes de ejecutarlo.
La Antimalware Scan Interface (AMSI, interfaz de análisis antimalware) es una API de Windows que permite a las aplicaciones pasar contenido al proveedor antimalware registrado, como Microsoft Defender, para analizarlo en tiempo de ejecución. Su valor reside en que ve el código después de la desofuscación: PowerShell envía cada bloque de script justo antes de ejecutarlo, de modo que el contenido codificado en base64, descargado en memoria o ensamblado a partir de cadenas se analiza en su forma final. También están integrados Windows Script Host (VBScript y JScript), las macros VBA de Office, las macros de Excel 4.0, la carga de ensamblados .NET en memoria y las elevaciones del Control de cuentas de usuario, y las aplicaciones de terceros pueden llamar a la API.
AMSI es una defensa central contra el malware sin archivos y los scripts maliciosos. Por eso los atacantes intentan eludirla, normalmente parcheando AmsiScanBuffer en su propio proceso o degradando a PowerShell 2.0, que no admite AMSI. Quite la característica PowerShell 2.0, mantenga al día la protección de Defender, habilite el registro de bloques de script, que registra el mismo contenido desofuscado, y genere alertas ante cadenas de evasión conocidas.
Consulte Detectar PowerShell malicioso y Registro de PowerShell y modo de lenguaje restringido.