Para um teste de bloco AMSI, consulte
KB59742 - Como usar o arquivo de teste EICAR com nossos produtos.
Para executar um teste de bloco AMSI no Windows Defender:
- Abra o PowerShell e digite AMSI Test Sample: 7e72c3ce-861b-4339-8740-0ac1484c1386.
- Verifique o log de varredura ao acessar do Windows Defender para obter detalhes.
A Detecção Win32/Mptest!amsi (nome da detecção da Microsoft) é acionada nesta string e é relatada nos logs.
Valores de resultado AMSI
O provedor de antimalware pode retornar um resultado entre 1 e 32767, inclusive, como um nível de risco estimado. Quanto maior o resultado, mais arriscado continuar com o conteúdo.
Esses valores são específicos do provedor e podem indicar uma família ou ID de malware. Qualquer resultado total igual ou superior a 32768 é considerado malware e o conteúdo bloqueado.
Um aplicativo deve usar
AmsiResultIsMalware para determinar esse valor.
AMSI_RESULT_CLEAN = 0
AMSI_RESULT_NOT_DETECTED = 1
AMSI_RESULT_BLOCKED_BY_ADMIN_START = 16384
AMSI_RESULT_BLOCKED_BY_ADMIN_END = 20479
AMSI_RESULT_DETECTED = 32768
Portanto, pesquise os logs do ENS usando a string
32768 para destacar possíveis blocos AMSI.
A visibilidade dos eventos gerados pela Antimalware Scan Interface (AMSI) pode ser limitada.
As etapas a seguir fornecem um mecanismo de log AMSI:
- Abra uma seção CLI do administrador
- Iniciar o registro de eventos AMSI em c:\temp\:
Executar: logman start AMSITrace -p Microsoft-Antimalware-Scan-Interface Event1 -o c:\temp\amsi.etl –ets
- Para parar de registrar eventos AMSI:
Execute: logman stop AMSITrace –ets
- Para ler o .etl run:
powershell "Get-WinEvent -Path c:\temp\amsi.etl -Oldest | Format-List *"
- Como alternativa, você pode fazer o seguinte:
- Abra o visualizador de eventos do Windows (eventvwr.msc).
- Clique com o botão direito do mouse em Visualizador de eventos (local).
- Abra o log salvo: Navegue até c:\temp\ e selecione o etl file previously gerado.
- Concorde com a conversão para .evtx, clique na guia Detalhes e visualize o XML depois de carregado.
Os IDs de provedor registrados são encontrados em:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AMSI\Providers\
HKLM\SW\Classes\CLSID\
Microsoft Windows Defender = {2781761E-28E0-4109-99FE-B9D127C57AFE}
McAfee ENS = {436D0575-3FCC-49C2-9E9C-5772A341E1D5}
Carbon Black = {009DDD00-35E7-4664-AFB3-732D5C459754}
Microsoft AMSI = {2a576b87-09a7-520e-c21a-4942f0271d67}
Script para testar
WScript injeção AMSI:
- Abra o bloco de notas.
- Cole o seguinte texto no bloco de notas:
i=10
If i=10 Then
msgbox("TEST, Click OK to close")
Else
Msgbox "Hello world"
End if
- Salve como c:\temp\test.vbs.
- Abra uma seção de linha de comando, digite wscript test.vbs e pressione Enter.
