AMSI : fonctionnement et contournements

Magazine
Marque
MISC
Numéro
104
Mois de parution
juillet 2019
Domaines


Résumé
Avec Windows 10, Microsoft a introduit l’Antimalware Scan Interface (AMSI) dont l’objectif est de faciliter l’interaction entre les langages de scripting et les solutions antivirus. Ce mécanisme permet notamment de déjouer certaines techniques d’obfuscation visant à échapper aux signatures antivirus.

L’Antimalware Scan Interface (AMSI) est un mécanisme de protection intégré au sein de Windows 10. Son objectif est de fournir aux développeurs une interface leur permettant d’interagir de façon abstraite avec les solutions antivirus installées sur un poste. Son usage est notamment destiné aux langages de scripting tels que PowerShell, JScript, VBScript ou VBA.

Dans cet article, nous étudierons le fonctionnement de l’AMSI ainsi que son implémentation au sein de divers composants, puis nous nous intéresserons aux méthodes permettant de contourner ce mécanisme.

1. AMSI

1.1 Fonctionnement

Lorsqu’une application souhaite procéder à l’inspection d’un contenu par un antivirus, celle-ci fait appel à l’AMSI. L’interface joue alors le rôle de courtier en redistribuant le contenu à analyser vers les différents « providers » (antivirus) inscrits auprès d’elle. Ce fonctionnement est présenté par le schéma en figure 1.

amsi-architecture

Fig. 1 : Architecture de...

Cet article est réservé aux abonnés. Il vous reste 95% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Introduction au dossier : Sécurité de l’orchestrateur Kubernetes

Magazine
Marque
MISC
Numéro
112
Mois de parution
novembre 2020
Domaines
Résumé

Ce dossier s’intéresse à un système de plus en plus déployé aujourd’hui, à savoir l’orchestrateur Kubernetes. Au-delà de l’effet de mode évident dans son adoption actuelle, l’intérêt croissant pour ce projet nous amène forcément à nous poser une question essentielle : qu’en est-il de sa sécurité ? Devenu un standard de facto pour l’orchestration de conteneurs, Kubernetes, qui signifie gouvernail en grec, présente une architecture complexe et les possibilités de se tromper avec des conséquences importantes pour la sécurité d’un cluster sont nombreuses.

Comprendre les bases de données relationnelles

Magazine
Marque
Linux Pratique
Numéro
122
Mois de parution
novembre 2020
Domaines
Résumé

Indispensables pour le stockage et le traitement massif de données, les bases de données relationnelles sont partout. Si elles sont utilisées principalement pour l’informatique de gestion, on les rencontre également dans des domaines aussi divers que les sites web, les systèmes d’exploitation ou même les jeux vidéo. Dans cet article, nous allons vous faire découvrir les principaux concepts qui sous-tendent leur fonctionnement.

Répondez aux problématiques de sécurité d’accès avec OpenSSH

Magazine
Marque
Linux Pratique
HS n°
Numéro
49
Mois de parution
novembre 2020
Domaines
Résumé

Notre infrastructure est désormais stable et sécurisée tant au niveau système que réseau. Nous allons pouvoir étudier de manière un peu approfondie un logiciel particulier : OpenSSH. Ce démon réseau nous permet de nous connecter en toute sécurité sur nos serveurs via le protocole SSH. Son développement a commencé il y a plus de 20 ans chez nos amis d’OpenBSD. La liste de ses fonctionnalités est d’une longueur impressionnante. Nous allons en parcourir ensemble quelques-unes qui, je l’espère, nous permettront d’améliorer tant notre sécurité que notre productivité quotidienne.

Les lolbas, des amis qui vous veulent du bien

Magazine
Marque
MISC
Numéro
112
Mois de parution
novembre 2020
Domaines
Résumé

Il existe des fichiers nativement présents sur Windows pouvant être détournés par un attaquant et ainsi être utilisés lors des différentes phases de compromission. Dans cet article, nous présenterons quelques cas d’utilisations de ces fichiers par des attaquants, ainsi que des solutions de prévention contre ces attaques.