3.1. AmsiInitialize()#

Khi một tiến trình (như powershell.exe) vừa khởi chạy, nó chưa thể quét mã độc ngay. Việc đầu tiên nó làm là gọi hàm AmsiInitialize để “đánh thức” AMSI. Quá trình này diễn ra qua 3 bước cốt lõi:

3.2. AmsiScanBuffer()#

Sau khi AmsiInitialize thiết lập xong kênh liên lạc và tạo ra một amsiContext hoàn chỉnh, hệ thống đã sẵn sàng. Khi một process cố gắng thực thi mã (script, macro), dữ liệu thô sẽ được đẩy vào AmsiScanBuffer()

5.1 Overview#

Để hiểu rõ hơn về cách mà attacker vượt mặt AMSI, chúng ta sẽ phân tích sample mã độc AsyncRAT có sử dụng kỹ thuật Memory Patching, kết hợp vô hiệu hóa cả AMSI và ETW logging để tạo chuỗi bypass khá tinh vi và tiên tiến.

Theo cyble.com: Cyble Research and Intelligence Labs (CRIL) đã phát hiện một chiến dịch tấn công sử dụng các file LNK độc hại được ngụy trang thành wallpaper nhằm lừa người dùng thực thi chúng. Chiến dịch này được đặt tên “Ghost in the Shell” — một cái tên không phải ngẫu nhiên khi toàn bộ payload được thực thi hoàn toàn trong memory, không để lại dấu vết trên disk.

Cụ thể, các file LNK được thể hiện dưới dạng wallpaper anime với các nhân vật nổi tiếng như Sasuke và Itachi Uchiha từ Naruto — khai thác tâm lý và sở thích của người dùng để tăng xác suất bị lừa click.

5.2 Infection chain#

Nguồn ảnh: Cyble - NULL AMSI: Evading Security to Deploy AsyncRAT

5.3 AMSI, ETW Bypass#

Từ phân tích ở trên,ta biết được AmsiScanBuffer() có cấu trúc:

• Validate đầu vào (magic signature, pointer checks)
• Đóng gói dữ liệu thành CAmsiBufferStream
• Dispatch qua vtable đến AV provider

Kỹ thuật bypass này tận dụng điểm yếu chính mà chúng ta đã xác định: nhánh return sớm trong validation.Nhưng thay vì chỉ patch AmsiScanBuffer, sample này đi sâu hơn — nó vô hiệu hóa AmsiInitialize, hàm khởi tạo context của AMSI mà chúng ta đã nói ở trên:

• Nó đang sử dụng kĩ thuật Hex Byte Array Encoding nhằm vượt qua các cơ chế kiểm tra tĩnh và lấy địa chỉ AmsiInitialize thông qua reflection
• Ngoài ra các chuỗi khác cũng dùng kĩ thuật Encoding tương tự

Tại sao chọn AmsiInitialize thay vì AmsiScanBuffer?

• AmsiInitialize là pinch point duy nhất: Mỗi khi PowerShell khởi động, nó bắt buộc phải gọi AmsiInitialize để tạo context handle (systemContext) — đây là cơ sở của toàn bộ luồng quét sau này.
• Vô hiệu hóa từ gốc: Bằng cách patch AmsiInitialize trả về S_OK (0) nhưng không thực tế tạo context hợp lệ, các hàm quét tiếp theo sẽ phải xử lý một context "rỗng" — và hầu hết code AV không prepare cho scenario này.

6.1. Sysmon Event ID 10#

Mọi kỹ thuật AMSI bypass theo hướng memory patching — dù là patch AmsiScanBuffer, AmsiInitialize, hay AmsiOpenSession — đều phải trải qua một bước không thể bỏ qua: truy cập vào vùng nhớ của amsi.dll đang được load trong process đích để ghi đè opcode. Sysmon ghi lại hành vi này qua EID 10 — ProcessAccess, hoạt động qua kernel driver riêng (SysmonDrv), hoàn toàn độc lập với ETW pipeline của AMSI. Đây là lý do EID 10 trở thành nguồn artifact đáng tin cậy nhất: dù EtwEventWrite trong ntdll.dll bị patch, Sysmon vẫn ghi log bình thường vì nó không đi qua con đường đó. Điểm cần chú ý trong CallTrace: khi patch xảy ra từ unbacked memory — tức là vùng nhớ không được map với bất kỳ module nào trên disk — đây là dấu hiệu mạnh của shellcode hoặc reflective loading. Kết hợp với TargetImage trỏ vào các script host như powershell.exe, wscript.exe, cscript.exe, pattern này gần như chắc chắn là malicious.

Dù mạnh mẽ, sysmon ID 10 tồn tại một nhược điểm lớn: Chỉ nhạy với Cross-Process và hoàn toàn bất lực trước kỹ thuật Self-Patching. Khi một biến thể mã độc tự can thiệp vào bộ nhớ của chính nó (Intra-process) bằng cách gọi trực tiếp các API thông qua pseudo-handle, luồng thực thi hoàn toàn bypass qua cơ chế ObRegisterCallbacks của Sysmon driver ở tầng Kernel. Trong kịch bản này, ID 10 sẽ trả về con số 0 tròn trĩnh, buộc chúng ta phải chuyển hướng sang phối hợp với các lớp phòng thủ khác như PowerShell EID 4104.

6.2. PowerShell Script Block Logging — Event ID 4104#

Để hiểu tại sao EID 4104 quan trọng, cần hiểu trước một constraint mà attacker không thể tránh khỏi. Các script host như VBScript (wscript.exe, cscript.exe) hay mshta.exe bị giới hạn nghiêm ngặt về khả năng tương tác với bộ nhớ hệ thống. Chúng không có native access đến các API như VirtualProtect, Marshal.Copy, hay reflection để truy cập internal field của .NET runtime. Muốn thao túng sâu vào bộ nhớ — tức là muốn thực hiện memory patching lên amsi.dll — attacker bắt buộc phải leo lên PowerShell.

PowerShell chạy trên .NET runtime, có đầy đủ quyền truy cập vào System.Runtime.InteropServices, System.Reflection, P/Invoke, và toàn bộ Win32 API surface. Đây là môi trường duy nhất trong Windows scripting stack cho phép attacker làm những việc như:

1
# Truy cập internal field của .NET runtime qua reflection
2
$a = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
3
$b = $a.GetField('amsiInitFailed','NonPublic,Static')
4

5
# Gọi Win32 API trực tiếp qua P/Invoke
6
$vp = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer(...)
7
VirtualProtect($addr, 6, 0x40, [ref]$old)

EID 4104 ghi lại payload tại thời điểm PowerShell engine đã làm hết phần decode thay cho chúng ta, và nó xuất hiện trước khi attacker kịp làm bất cứ điều gì để xóa dấu vết.

Nhìn vào hai mẫu log thu thập được từ quá trình thực thi AsyncRAT, chúng ta có thể thấy rõ chiến thuật phân lớp của kẻ tấn công:

• Khối mã nguồn sau khi giải mã (lưu trữ trong biến $injectionCode) chứa đựng toàn bộ logic P/Invoke và Reflection nhằm vô hiệu hóa AMSI và ETW (chi tiết tại Ảnh 2). Tại đây, Event ID 4104 thể hiện rõ vai trò trọng yếu: Ghi nhận chính xác khoảnh khắc Loader thực thi quá trình de-obfuscation Base64, bóc được payload lõi ngay trước khi mã độc kịp vô hiệu hóa các lá chắn phòng thủ của hệ thống.

• Bức ảnh thứ hai chính là nội dung của $injectionCode đã được giải mã, đây là toàn bộ logic cốt lõi để bypass AMSI/ETW mà chúng ta đã phân tích ở phần 5.3.

Để khám phá thêm sự đa dạng của các attack surface, các bạn có thể tham khảo thêm repository Amsi-Bypass-Powershell . Đây là một dự án tổng hợp hệ thống các kỹ thuật bypass AMSI tiên tiến dành riêng cho mục đích nghiên cứu.

Tóm lại, với những chia sẻ trên thì toi cũng coi như có cái note để đọc lại khi quên và cũng mong là nó giúp ích gì đó cho các bạn. Đến đây thì blog cũng đã dài. Cảm ơn các bạn đã dành thời gian để đọc đến đây. Chúc một ngày tốt lành

(\_/)

(•.•)

(>☕

SawG, a.k.a EagleBoiz