AMSI bypass, Windows’un betik ve bellek içi kodları tarama görevini üstlenen Antimalware Scan Interface (AMSI) bileşenini etkisiz hâle getirerek zararlı içeriğin denetimden geçmeden çalışmasını sağlayan bir tekniktir. AMSI, PowerShell, VBScript, JScript ve Office makroları gibi ortamların çalıştıracakları içeriği yürütmeden hemen önce yüklü antivirüse iletmesini sağlayan bir köprüdür; bypass bu köprüyü koparmayı amaçlar.

AMSI bypass, betik motorunun içeriği güvenlik ürününe iletmesini sağlayan tarama köprüsünü bozarak zararlı kodun hiç denetlenmeden çalışmasını sağlayan atlatma tekniğidir.

AMSI Neyi Çözer?

Dosyasız saldırıların yükselişiyle birlikte, diske hiç yazılmayan ve doğrudan bellekte çözülüp çalıştırılan zararlı betikler yaygınlaştı. Klasik dosya taraması bu içeriği göremez; çünkü ortada taranacak bir dosya yoktur. AMSI, tam bu boşluğu kapatmak için betik gerçekten çalıştırılmadan önce, çözülmüş ve okunabilir hâldeki içeriği güvenlik ürününe gönderir. Böylece obfuscation ile gizlenmiş bir yük bile, çalışma anında düz metin olarak taranabilir.

Saldırganlar için bu, aşılması gereken bir engeldir. AMSI’nin taramayı yapan çekirdek fonksiyonu genellikle amsi.dll içindeki AmsiScanBuffer’dır; bypass teknikleri de çoğunlukla bu fonksiyonu hedef alır. Bellekte ilgili baytların yamalanması, dönüş değerinin her zaman temiz sonuç verecek şekilde değiştirilmesi ya da bağlam yapısının bozulması yaygın yöntemlerdir. Sonuç, güvenlik ürününün çağrılmaması veya sürekli olumlu yanıt almasıdır; bu da güçlü bir Savunmadan kaçınma etkisi doğurur.

Sık Kullanılan Yöntemler

Bir kısım teknik AMSI’yi hiç devreye sokmadan çalışmaya dayanır; örneğin AMSI’nin başlatma sırasında hata almasına yol açan bellek bayrağı manipülasyonları. Bir kısmı ise reflection yoluyla ilgili yapıya erişip taramayı sessizce kapatır. Bu yöntemlerin çoğu, elde edilen kod çalıştırma yeteneğini kalıcı bir tutunmaya ve Yetki yükseltme adımlarına çevirmenin ön hazırlığıdır. Microsoft yayımlanan bypass’ları imzalarla yakalamaya çalışsa da, hafif değişikliklerle yenileri türetilebildiği için sürekli bir kovalamaca sürer.

Tespit ve Savunma

AMSI bypass girişimlerinin izi, amsi.dll’in kod bölümüne yapılan beklenmedik yazma işlemlerinde, bilinen bypass dizeleriyle eşleşen bellek desenlerinde ve AMSI’yi kullanan süreçlerdeki anormalliklerde görünür. Modern Uç nokta güvenliği ürünleri, AMSI’nin kendisi devre dışı kalsa bile bellek taraması ve davranışsal telemetriyle bu manipülasyonları yakalayabilir. Betik yürütme günlüklerinin (PowerShell script block logging) toplanması, tarama atlatılsa dahi çalıştırılan kodun sonradan incelenmesini sağlar.

AMSI bypass gibi tekniklerin bir kurumun izleme ekibi tarafından gerçekten fark edilip edilmediği, ancak kontrollü bir taarruz senaryosuyla ölçülebilir. Privia Security’nin red team hizmeti, güncel atlatma yöntemlerini gerçekçi koşullarda deneyerek savunma katmanlarınızın dosyasız saldırılara karşı ne kadar hazır olduğunu gösterir.