> ## Documentation Index
> Fetch the complete documentation index at: https://rootea.es/llms.txt
> Use this file to discover all available pages before exploring further.

# AMSI bypass

> AMSI inspecciona scripts (PowerShell, VBScript, JS) y .NET assemblies en runtime.

# AMSI bypass

<p className="glossary-answer">AMSI inspecciona scripts (PowerShell, VBScript, JS) y .NET assemblies en runtime.</p>

**Categoría:** [Red Team & Evasión](/glosario)

🎯 **Trinchera** — AMSI inspecciona scripts (PowerShell, VBScript,
JS) y .NET assemblies en runtime. `AmsiScanBuffer` es la API
clave. Patcheándola en memoria (con escritura a `0xC3` al inicio)
neutralizas la inspección. Funciona en 2026 con técnicas modernas
(HW breakpoints, hooks no-entrypoint).

🔗 **Kill chain** — Stage 1: bypass AMSI. Stage 2: load
herramientas in-memory (`Invoke-Mimikatz`, `Rubeus`,
`SharpHound`).

📡 **Huella defensiva** — Defender escanea memoria de
`amsi.dll` y detecta firma de patch clásico. ETW-TI ve
`NtSetContextThread`. Sigma `proc_creation_win_susp_amsi_bypass_pattern.yml`.

⚠️ **Falso amigo** — Cada versión de Defender mata un bypass
distinto. En 2026 los bypasses estáticos públicos están todos
firmados; necesitas variantes propias.

🛡️ **Remediación** — Defender activo + cloud delivered protection,
ASR rules, EDR con ETW-TI subscription.

***

← [Volver al glosario completo](/glosario)

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"DefinedTerm","name":"AMSI bypass","description":"AMSI inspecciona scripts (PowerShell, VBScript, JS) y .NET assemblies en runtime.","inDefinedTermSet":{"@type":"DefinedTermSet","name":"Glosario táctico de pentesting","url":"https://rootea.es/glosario"},"url":"https://rootea.es/glosario/amsi-bypass"}`}
</script>

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://rootea.es"},{"@type":"ListItem","position":2,"name":"Glosario táctico","item":"https://rootea.es/glosario"},{"@type":"ListItem","position":3,"name":"AMSI bypass","item":"https://rootea.es/glosario/amsi-bypass"}]}`}
</script>

*Última actualización: 2026-06-11*