# Antimalware Scan Interface

Das Antimalware Scan Interface (AMSI) ist eine von Microsoft entwickelte Programmierschnittstelle, die dazu dient, Schadprogramme (englisch Malware) effektiver zu erkennen und zu bekämpfen. Sie ermöglicht die Zusammenarbeit zwischen Anwendungen und Antivirenprogrammen, indem sie Antimalware-Scans innerhalb des Programmablaufs ermöglicht. Via AMSI können Programme dynamisch generierte Codefragmente oder aus anderen Quellen (z. B. aus dem Internet) bezogene Plugins von Drittanbietern, die zur Laufzeit ausgeführt werden sollen, auf schädliches Verhalten untersucht werden. Die Einführung von AMSI stellt einen wichtigen Schritt im Bereich der Informationssicherheit dar, um die Fähigkeiten zur Erkennung und Abwehr von Bedrohungen zu verbessern.

## Funktionsweise

AMSI ist eine Schnittstelle, die seit Windows 10 in den Betriebssystemen von Microsoft implementiert ist, um eine tiefere und effektivere Integration von Antimalware-Programmen in Softwareanwendungen zu ermöglichen. AMSI ist in der Lage, verdächtige Aktivitäten und Inhalte während der Laufzeit eines Programms in Echtzeit zu erkennen und zu blockieren.
Die Funktionsweise von AMSI basiert auf einem mehrstufigen Prozess, der eine gründliche Analyse von ausführbarem Code und skriptbasierten Inhalten ermöglicht. Dieser Prozess kann in folgenden Schritten zusammengefasst werden:
* Aufruf der Schnittstelle: Eine Anwendung, sei es ein Programm oder ein Skript, ruft die AMSI-Schnittstelle auf, wenn sie einen potenziell schädlichen Code ausführen möchte. Dies geschieht entweder direkt durch die Anwendung oder durch die Umleitung von entsprechenden Betriebssystem-APIs.
* Inhaltliche Analyse: Der übergebene Code oder Inhalt wird in kleinere Einheiten, wie z. B. Zeichenketten oder Bytefolgen, aufgeteilt. Dies ermöglicht eine detaillierte und granulare Analyse der Inhalte.
* Scanning durch Antimalware-Produkte: Die auf dem System installierte Antimalware-Software wird nun aufgerufen, um die übermittelten Inhalte zu überprüfen. Diese Software nutzt ihre Signaturen und heuristischen Algorithmen, um nach bekannten Schadmustern zu suchen und verdächtige Aktivitäten zu identifizieren.
* Generierung von Berichten und Bewertungen: Basierend auf den Ergebnissen der Überprüfung generiert die Antimalware-Software Berichte über die erkannten Aktivitäten und deren potenzielle Risiken. Diese Informationen werden an die AMSI-Schnittstelle zurückgegeben.
* Entscheidungsprozess: Die AMSI-Schnittstelle entscheidet basierend auf den Berichten der Antimalware-Software, ob der übermittelte Code oder Inhalt als schädlich oder unbedenklich eingestuft wird. Bei Verdacht auf Schadhaftigkeit können entsprechende Aktionen ergriffen werden, wie z. B. die Blockierung der Ausführung.
Ein Schlüsselmerkmal von AMSI ist seine Fähigkeit, nicht nur auf traditionelle ausführbare Dateien, sondern auch auf Skripte zuzugreifen. Dies ist entscheidend, da moderne Malware oft Skripte verwendet, um sich auf einem System auszubreiten oder ihre schädlichen Aktivitäten zu tarnen. Insbesondere gilt das auch für dateilose Bedrohungen, also Schadcode, der zur Laufzeit dynamisch generiert wird und nur im Arbeitsspeicher existiert. Durch die Einbindung von AMSI in Laufzeitumgebungen für Skriptsprachen wie PowerShell, Windows Script Host (u. a. VBScript und JScript) und VBA-Makros in Microsoft Office wird die Wirksamkeit von Antimalware-Programmen erheblich verbessert. Durch einfache Code-Obfuskation lässt sich eine AMSI-Überprüfung nicht umgehen oder beeinflussen, da die Prüfung unmittelbar vor der Ausführung durch die Laufzeitumgebung stattfindet und zu diesem Zeitpunkt unverschleiert vorliegen muss.
Standardmäßig werden die Anfragen an die AMSI-Schnittstelle durch den Microsoft Defender bearbeitet. Allerdings können auch andere Antivirenprogramme hierfür registriert werden, sofern dies durch den Hersteller und die Benutzereinstellungen unterstützt wird. Es können mehrere AMSI-Anbieter registriert werden, die nacheinander durchlaufen werden.

## Kritik

Trotz seiner potenziellen Vorteile und der Fortschritte im Bereich der Malware-Erkennung hat das Antimalware Scan Interface (AMSI) auch Kritik und Bedenken hervorgerufen. Einige Sicherheitsexperten argumentieren, dass AMSI nicht immun gegen Umgehungsversuche und Fehlklassifikation ist. Angreifer könnten versuchen, die AMSI-Überprüfung zu umgehen, indem sie Techniken anwenden, die schädlichen Code vor der Erkennung verbergen oder den AMSI-Prozess selbst manipulieren. Zudem können Fehlalarme auftreten, bei denen legitimer Code fälschlicherweise als schädlich eingestuft wird, was zu Unterbrechungen in rechtmäßigen Aktivitäten führen kann. Obwohl AMSI zweifellos eine wichtige Rolle im Schutz vor Malware spielt, sind solche Bedenken wichtige Aspekte, die bei der Entwicklung und Implementierung dieser Technologie berücksichtigt werden müssen.