El ciclo de vida de una consulta AMSI en PowerShell y .NET

Abre ciclo_amsi_y_parcheo.txt en la consola del laboratorio con el entorno rt-amsi-memoria-guia.

Cuando el motor de ejecución de PowerShell o el entorno común de lenguaje de .NET se inician, cargan la librería dinámica de escaneo antimalware en su propio espacio de direcciones virtuales, estableciendo un canal de consulta directo con el proveedor de seguridad configurado.

Revisa el apartado del flujo de ejecución en ciclo_amsi_y_parcheo.txt.

Antes de procesar cualquier comando introducido por el usuario o script en disco, el motor debe configurar el contexto de escaneo y abrir una sesión formal de comunicación con el motor antimalware del sistema.

En el caso de ensamblados administrados de .NET Framework, la llamada de inspección tiene lugar instantes antes de que el compilador en tiempo de ejecución (Just-In-Time Compiler o JIT) traduzca el código intermedio (CIL) a instrucciones de máquina nativas.

Si el buffer analizado contiene cadenas o secuencias de bytes reconocidas como maliciosas, la función devuelve un veredicto de bloqueo que interrumpe la ejecución antes de que el procesador ejecute una sola instrucción.