🔴 Бикон ожил, но через 30 секунд — тишина. EDR срезал соединение, SOC смотрит на алерт. В 2025 классика «
AmsiScanBuffer patch + Invoke-Mimikatz» не работает.⚙️ Три вещи, которые меняют картину:
• Hardware breakpoints — обход AMSI без единого байта записи в память
amsi.dll• Для shellcode AMSI bypass вообще не нужен — лишний IoC, лишний шум
• Главный вектор детекта патчинга — не сам патч, а вызов
VirtualProtect на страницу amsi.dll📖 Разбор четырёх слоёв защиты — AMSI, ETW, userland hooks, kernel callbacks — с рабочим кодом на C/C++ и PowerShell, проверенным против конкретных EDR.
Полный разбор с кодом:
https://codeby.net/threads/obkhod-amsi-i-antivirusnykh-khukov-prakticheskoye-rukovodstvo-dlya-offensive-razrabotchika-2025-2026.92620/