AMSI Forensics

Définition

AMSI (Antimalware Scan Interface) est une API Windows introduite avec Windows 10 qui permet aux applications (notamment PowerShell, WScript, Mshta) de soumettre leur contenu à tous les antimalwares installés pour analyse avant exécution. AMSI est une couche de détection complémentaire aux signatures antivirales traditionnelles, particulièrement efficace contre les scripts obfusqués qui ne correspondent pas à des signatures de fichiers. Dans le contexte forensique, AMSI est importante pour deux raisons opposées. D'un côté, AMSI génère des détections et des logs qui peuvent révéler des tentatives d'exécution de code malveillant même si celui-ci a été obfusqué. D'un autre côté, les techniques de bypass AMSI sont largement connues et utilisées par les attaquants sophistiqués, ce qui signifie que l'absence de détection AMSI ne signifie pas l'absence d'exécution malveillante. Les bypasses AMSI documentés exploitent différentes faiblesses. Le patch mémoire AMSI consiste à modifier en mémoire la fonction AmsiScanBuffer() dans amsi.dll pour qu'elle retourne toujours S_OK (scan réussi, aucun malware) — cette technique est détectable en vérifiant l'intégrité des DLLs chargées en mémoire (Moneta, pe-sieve). La technique de downgrade force l'utilisation de PowerShell 2.0 (powershell.exe -Version 2) qui ne supporte pas AMSI. La technique de forçage d'erreur provoque une erreur d'initialisation AMSI, désactivant temporairement l'interface. Les logs AMSI sont écrits dans l'Event Log Windows (Microsoft-Windows-AMSI/Operational) avec l'EventID 1101 (scan effectué) et 1102 (détection positive). Ces événements incluent le nom de l'application qui a soumis le scan, l'identifiant de session, et le résultat. En cas de détection, le contenu soumis (le code malveillant) peut être inclus dans le log, fournissant une preuve forensique précieuse. Pour les équipes DFIR, l'analyse des logs AMSI combinée aux Script Block Logging PowerShell et aux Sysmon process events fournit une vue complète des tentatives d'exécution de code malveillant, même partiellement bloquées.