Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 045

Обход AMSI

Что такое Обход AMSI?

Обход AMSIТехники, отключающие, патчащие или обходящие Windows Antimalware Scan Interface, чтобы скрипты и in-memory полезные нагрузки не попадали под проверку антивирусов.

Antimalware Scan Interface (AMSI) позволяет PowerShell, JavaScript, VBScript, .NET и макросам Office передавать буферы зарегистрированному антивирусу до их выполнения. Обходы AMSI нейтрализуют эту защиту: патч в памяти amsi.dll!AmsiScanBuffer так, чтобы всегда возвращался clean, перехват функций CLR, изменение поля amsiInitFailed у AmsiUtils PowerShell, разбиение и обфускация строк или принудительный откат к PowerShell v2. Цель — выполнить вредоносные скрипты (Mimikatz, Invoke-Mimikatz, биконы Cobalt Strike) внутри доверенного процесса без срабатывания Defender или других движков. MITRE ATT&CK сопоставляет это с T1562.001 (Impair Defenses). Защита: AMSI-провайдеры, привязанные к EDR, правила ASR, PowerShell Constrained Language Mode, AppLocker и обнаружение неподписанных патчей в памяти.

● Примеры

  1. 01

    Патч первых байтов AmsiScanBuffer в памяти процесса так, чтобы он всегда возвращал AMSI_RESULT_CLEAN.

  2. 02

    [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField('amsiInitFailed','NonPublic,Static').SetValue($null,$true).

● Частые вопросы

Что такое Обход AMSI?

Техники, отключающие, патчащие или обходящие Windows Antimalware Scan Interface, чтобы скрипты и in-memory полезные нагрузки не попадали под проверку антивирусов. Относится к категории Атаки и угрозы в кибербезопасности.

Что означает Обход AMSI?

Техники, отключающие, патчащие или обходящие Windows Antimalware Scan Interface, чтобы скрипты и in-memory полезные нагрузки не попадали под проверку антивирусов.

Как работает Обход AMSI?

Antimalware Scan Interface (AMSI) позволяет PowerShell, JavaScript, VBScript, .NET и макросам Office передавать буферы зарегистрированному антивирусу до их выполнения. Обходы AMSI нейтрализуют эту защиту: патч в памяти amsi.dll!AmsiScanBuffer так, чтобы всегда возвращался clean, перехват функций CLR, изменение поля amsiInitFailed у AmsiUtils PowerShell, разбиение и обфускация строк или принудительный откат к PowerShell v2. Цель — выполнить вредоносные скрипты (Mimikatz, Invoke-Mimikatz, биконы Cobalt Strike) внутри доверенного процесса без срабатывания Defender или других движков. MITRE ATT&CK сопоставляет это с T1562.001 (Impair Defenses). Защита: AMSI-провайдеры, привязанные к EDR, правила ASR, PowerShell Constrained Language Mode, AppLocker и обнаружение неподписанных патчей в памяти.

Как защититься от Обход AMSI?

Защита от Обход AMSI обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Обход AMSI?

Распространённые альтернативные названия: AMSI evasion.

● Связанные термины