La interfaz AMSI y escaneo de buffers en memoria

Abre mecanismo_amsi_etw.txt en la consola del laboratorio con el entorno rt-telemetria-edr-guia.

Cuando un operador ejecuta un script ofuscado con codificación en Base64 o capas anidadas de compresión en PowerShell, el intérprete debe forzosamente decodificar el comando para poder ejecutarlo. Justo en ese momento, el motor pasa el buffer descifrado a la interfaz antimalware.

Revisa el apartado 1 en mecanismo_amsi_etw.txt.

La biblioteca amsi.dll se carga en el proceso del intérprete y exporta funciones de escaneo que envían los bytes en memoria directamente al motor antivirus residente en el sistema para determinar si coinciden con patrones maliciosos conocidos.

AMSI fue concebido primordialmente para motores de scripting y entornos administrados (PowerShell, VBScript, JScript y ensamblados en .NET Framework 4.8 o superior).

Las aplicaciones nativas compiladas en lenguajes como C, C++ o Rust no implementan de forma automática llamadas a esta interfaz, por lo que la detección defensiva de binarios nativos recae en sensores de comportamiento en kernel y ganchos de API.