Malware Scanner Windows 10

Einleitung in die Funktionalität von AMSI

Angreifern fällt es in der Regel leicht, mit scriptbasierten Programmiersprachen wie z. B. Windows XP, Windows, PowerShell, Excel, Microsoft Excel, Microsoft Excel, Microsoft Excel, Windows oder JavaScript zu spielen. Bei Angreifern ist der Einsatz von Strom Shell zu einem populären Tool geworden, weil er sehr wirksam ist und lange Zeit als schwierig zu erkennen galt. Bei Angreifern hat sich PowerShell durchgesetzt. Dies soll sich mit der Vorstellung des Anti-Malware Scan Interface (AMSI) von Microsoft nun grundlegend aufheben.

Die Anti-Malware Scan Interface (AMSI) wird von Microsoft als generische Standardschnittstelle bezeichnet, die es Applikationen und Services erlaubt, mit den auf dem Gesamtsystem installierten Anti-Virenlösungen zu kommunizieren. Das AMSI bietet Applikationen die gängigsten Antivirenlösungstechniken, wie Festplatten- und Speicherscannen und Inhaltskontrolle auf der Grundlage von URL- und IP-Adressen-Reputationsprüfungen.

Das AMSI hat auch die Möglichkeit, Scripts zu überprüfen, die Verdunkelungstaktiken oder dynamische Codeschichten einsetzen. Um Anwendungsentwicklern neue Malware-Abwehrmaßnahmen anbieten zu können, erläutert der Microsoft-Softwareingenieur Lee Holmes im Beitrag Windows 10 diese Funktionalität so, dass die AMSI-API den Quellcode überprüft, wenn er in Klartext an die Scripting-Engine übermittelt wird.

Wird beispielsweise die Verschlüsselung von Base64 verwendet, sucht AMSI nach der Decodierung der Base64-Nutzlast erneut nach potenziellem schädlichem Code. Die Virenschutzlösung Windows Defender in Windows 10 hat Microsoft selbst mit AMSI-Unterstützung ausgerüstet. Die Unterstützung von AMSI wurde auch in die neue Generation von Stromerzeugern in Kraft getreten: 5.

Unter Windows 10 wird der Content von PowerShell-Skripten von der Antivirenlösung mit AMSI gescannt, sofern die Antivirenlösung bereits AMSI verwendet. Wir haben in unserer Laborumgebung AMSI unter Windows Server 2016 erfolgreich eingesetzt. Windows Defender, das PowerShell Invoke-Mimikskript, wurde als Steuerungsversuch deaktiviert. PSP1 wird über den Invoke-Ausdruck von einer Web-Seite mit dem Aufruf aufgerufen und ausgeführt: .

Dann wurde Windows Verteidiger aktiviert und der Vorgang wiederhol. Dieses Mal ist die Ausführungsfehler aufgetreten und die Nachbildung von Invoke mimic wurde von Windows Verteidiger blockiert. In dem zugehörigen Ereignisprotokolleintrag wird AMSI als Ursache für die Erkennung gespeichert: Window s Verteidiger hat Malware oder andere potenziell unerwünschte Funktionen erkannt. Windows Verteidiger konnte vor AMSI nur dann Windows Verteidiger erkennt, wenn die Dateien auf die Platte beschrieben wurden, den mimic record. vs1 aufrufen.

Allerdings kann Windows Defender durch Ausführen im Arbeitsspeicher beibehalten werden. Für AMSI gibt es, wie für jede andere Sicherheitsmaßnahme, auch Möglichkeiten der Umgehung. Kann beispielsweise für das jeweilige Betriebssystem beispielsweise der Einsatz von StromShell 2 möglich sein, fehlt die DSL-Integration in StromShell und der zu startende Quellcode wird nicht überprüft. Weil AMSI auch auf einem Signatur-basierten Konzept beruht, kann eine deutliche Veränderung der erfassten Malware-Skripte die Erkennung möglicherweise verhindern.

Ein weiteres Verfahren ist die Abschaltung von AMSI, z. B. durch Verwendung des PowerShell-Cmdlets Set-MpPreference, wie Nikhil Mittal in seiner Präsentation AMSI demonstriert: How Windows 10 Plans to Stop Script-Based Attacks and How well It Does It. Dadurch wird die Echtzeiterkennung von Windows Defender abgeschaltet, für die Administratorrechte erforderlich sind.

Bei beiden kann der Betrieb oder die Abschaltung durch die Überwachung von Leistungs- und Ereignisprotokollen erkannt werden. Microsoft unterstützt mit der Entwicklung der Anti-Malware -Scan-Schnittstelle eine Schwachstelle, die von skriptbasierten Programmiersprachen bisher genutzt werden konnte. Indem Sie Script Block Logging, Constrained Language Modus und AMSI kombinieren, kann das Programm so gesteuert und beobachtet werden, dass es für Hacker unattraktiv wird.

Auch Microsoft hat die UnterstÃ??tzung von AMSI in Office integriert, so dass Makros auf verst??mmte Malware gescannt werden können. Das AMSI ist eine gute Gelegenheit für Applikationsentwickler und Produzenten von Antivirenlösungen unter Windows, gegen die zunehmende Ausbreitung schriftbasierter Malware vorzugehen.