Glossaire
AMSI (Antimalware Scan Interface)
Interface Windows qui permet aux moteurs de script et aux applications de soumettre un contenu à l'antimalware installé pour analyse avant son exécution.
L'Antimalware Scan Interface (AMSI) est une API Windows qui permet aux applications de transmettre un contenu au fournisseur antimalware enregistré, par exemple Microsoft Defender, pour qu'il l'analyse au moment de l'exécution. Son intérêt est de voir le code après désobfuscation : PowerShell soumet chaque bloc de script juste avant de l'exécuter, si bien qu'un contenu encodé en base64, téléchargé directement en mémoire ou assemblé à partir de chaînes est analysé sous sa forme finale. Windows Script Host (VBScript et JScript), les macros VBA d'Office, les macros Excel 4.0, le chargement d'assemblys .NET en mémoire et les élévations du Contrôle de compte d'utilisateur sont également intégrés, et les applications tierces peuvent appeler l'API.
AMSI est une défense centrale contre les malwares sans fichier et les scripts malveillants. Les attaquants cherchent donc à le contourner, le plus souvent en patchant AmsiScanBuffer dans leur propre processus ou en revenant à PowerShell 2.0, qui ne prend pas en charge AMSI. Supprimez la fonctionnalité PowerShell 2.0, maintenez la protection Defender à jour, activez la journalisation des blocs de script, qui enregistre le même contenu désobfusqué, et déclenchez des alertes sur les chaînes de contournement connues.
Voir Détecter le PowerShell malveillant avec les blocs de script et Sécurité PowerShell : journalisation, v2, CLM et JEA.