AMSI バイパス.

Windows の AMSI(アンチマルウェアスキャンインターフェイス)を無効化・パッチ・回避し、スクリプトやインメモリ・ペイロードがウイルス対策にスキャンされないようにする一連の手法。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

Windows の AMSI(アンチマルウェアスキャンインターフェイス)を無効化・パッチ・回避し、スクリプトやインメモリ・ペイロードがウイルス対策にスキャンされないようにする一連の手法。

AMSI(Antimalware Scan Interface)は、PowerShell、JavaScript、VBScript、.NET、Office マクロが実行前にバッファを登録済みアンチウイルスへスキャン依頼できる仕組みです。AMSI バイパスはこの制御を無効化します。具体例として、メモリ上の amsi.dll!AmsiScanBuffer に常に「クリーン」を返すパッチを当てる、CLR 関数をフックする、PowerShell の AmsiUtils にある amsiInitFailed フィールドを書き換える、文字列を分割・難読化する、PowerShell v2 にダウングレードする等があります。狙いは Mimikatz、Invoke-Mimikatz、Cobalt Strike ビーコンといった悪意あるスクリプトを Defender 等に検知されずに信頼プロセス内で実行することです。MITRE ATT&CK では T1562.001(Impair Defenses)に対応します。対策には EDR 連動の AMSI プロバイダ、ASR ルール、Constrained Language Mode、AppLocker、未署名のメモリパッチ検出があります。

AMSI バイパス に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: AMSI 回避。