https://cyberveille.ch/tags/%C3%A9vasion-de-d%C3%A9fense/ Recent content in Évasion De Défense on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 05 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-05-poc-rust-contournement-amsi-sans-patch-via-page-guard-sur-amsiscanbuffer/ Sun, 05 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-05-poc-rust-contournement-amsi-sans-patch-via-page-guard-sur-amsiscanbuffer/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié sur GitHub (Whitecat18/Rust-for-Malware-Development), cet article présente un <strong>proof-of-concept (PoC) en Rust</strong> implémentant un contournement de l&rsquo;<strong>Antimalware Scan Interface (AMSI)</strong> de Microsoft sans modifier un seul octet de <code>amsi.dll</code>.</p> <h2 id="-mécanisme-technique">⚙️ Mécanisme technique</h2> <p>La technique repose sur l&rsquo;exploitation des <strong>exceptions de page mémoire gardée (Page Guard)</strong> :</p> <ul> <li>La page mémoire contenant <strong><code>AmsiScanBuffer</code></strong> est transformée en « trap » via <code>VirtualProtect</code> avec le flag <code>PAGE_GUARD</code>.</li> <li>Tout appel à <code>AmsiScanBuffer</code> déclenche une <strong>violation de page gardée</strong> (exception <code>0x80000001</code>) avant l&rsquo;exécution de la première instruction.</li> <li>Un <strong>Vectored Exception Handler (VEH)</strong> intercepte cette exception et : <ul> <li>Écrit <strong><code>AMSI_RESULT_CLEAN</code></strong> dans la variable résultat du caller (via déréférencement du pointeur en <code>[Rsp+0x30]</code>).</li> <li>Simule un <code>ret</code> pour retourner au caller.</li> <li>Réarme le piège via une exception de <strong>single-step</strong> (<code>0x80000004</code>) pour le prochain appel.</li> </ul> </li> </ul> <h2 id="-point-critique-dimplémentation">🧩 Point critique d&rsquo;implémentation</h2> <p>L&rsquo;article souligne un <strong>gotcha critique</strong> : l&rsquo;argument 6 sur la pile (<code>[Rsp+0x30]</code>) est un <strong>pointeur vers <code>AMSI_RESULT</code></strong>, pas la valeur directe. Il faut charger le pointeur puis le déréférencer — écrire directement dans le slot de pile corrompt la pile sans affecter la variable résultat du caller.</p>