AmsiBypass | Netskope Threat Labs

Description

AmsiBypass is a detection for malicious PowerShell scripts that attempt to bypass the Windows Antimalware Scan Interface, the mechanism that lets security products inspect script content before execution. Cyberattackers disable or patch AMSI so that later stages of an attack can run obfuscated payloads without raising alerts. A detection of this family usually signals that cyberattackers have active code execution on the system and are preparing to deploy additional tooling.

Stats

First seen: October 2022
Last seen: October 2026

Also known as

AMSIByPassAMSIBypass

Alert name variants

Alert Name	Engine
DeepScan:Generic.AMSIByPass.Z.FFFFFFFE	AV
Dump:Generic.AMSIByPass.Z.FFFFFFFE	ATP Sandbox Adv. HeuristicsAV
Generic.AMSIByPass.Z.01E99AD8	AV
Generic.AMSIByPass.Z.052D9F50	AV
Generic.AMSIByPass.Z.05B080DE	AV
Generic.AMSIByPass.Z.09D14A47	AV
Generic.AMSIByPass.Z.0E8F65FC	AV
Generic.AMSIByPass.Z.0EA30A2C	AV
Generic.AMSIByPass.Z.0F1F1E07	AV
Generic.AMSIByPass.Z.16C29415	AV
Generic.AMSIByPass.Z.1769DA9F	AV
Generic.AMSIByPass.Z.19318BA3	AV
Generic.AMSIByPass.Z.1EE42277	AV
Generic.AMSIByPass.Z.2344CA51	AV
Generic.AMSIByPass.Z.236077B0	AV
Generic.AMSIByPass.Z.23DF2F22	AV
Generic.AMSIByPass.Z.257B399C	AV
Generic.AMSIByPass.Z.2709C832	AV
Generic.AMSIByPass.Z.29701FCF	AV
Generic.AMSIByPass.Z.29E68D24	AV
Generic.AMSIByPass.Z.2A4F47BF	AV
Generic.AMSIByPass.Z.2A862CA6	AV
Generic.AMSIByPass.Z.2DAE3361	AV
Generic.AMSIByPass.Z.30F0D8BC	AV
Generic.AMSIByPass.Z.33B2CB9F	AV
Generic.AMSIByPass.Z.36CCA45F	AV
Generic.AMSIByPass.Z.37D0AC22	AV
Generic.AMSIByPass.Z.39A2BCCD	AV
Generic.AMSIByPass.Z.3CA32ABC	AV
Generic.AMSIByPass.Z.3DC3A63E	AV
Generic.AMSIByPass.Z.3ED18D5A	AV
Generic.AMSIByPass.Z.3FD6C882	AV
Generic.AMSIByPass.Z.40DDA72F	AV
Generic.AMSIByPass.Z.414F5C33	AV
Generic.AMSIByPass.Z.421F5A8D	AV
Generic.AMSIByPass.Z.4387E2C5	AV
Generic.AMSIByPass.Z.475A0749	AV
Generic.AMSIByPass.Z.48F49DF5	AV
Generic.AMSIByPass.Z.4CB6D2D8	AV
Generic.AMSIByPass.Z.4D2C1F64	AV
Generic.AMSIByPass.Z.4DC4838B	AV
Generic.AMSIByPass.Z.4E6A26DA	AV
Generic.AMSIByPass.Z.4F2413EB	AV
Generic.AMSIByPass.Z.51D74796	AV
Generic.AMSIByPass.Z.56F7220B	AV
Generic.AMSIByPass.Z.58F2DBCC	AV
Generic.AMSIByPass.Z.59813B04	AV
Generic.AMSIByPass.Z.5A4BEA45	AV
Generic.AMSIByPass.Z.5A762B6E	AV
Generic.AMSIByPass.Z.5AE7C531	AV
Generic.AMSIByPass.Z.5BF517A5	AV
Generic.AMSIByPass.Z.5C9931E3	AV
Generic.AMSIByPass.Z.5E26086A	AV
Generic.AMSIByPass.Z.6006BF87	AV
Generic.AMSIByPass.Z.6018811C	AV
Generic.AMSIByPass.Z.608DA0F7	AV
Generic.AMSIByPass.Z.610DC0A6	AV
Generic.AMSIByPass.Z.613D7645	AV
Generic.AMSIByPass.Z.61FBDA0C	AV
Generic.AMSIByPass.Z.625CC090	AV
Generic.AMSIByPass.Z.665808AD	AV
Generic.AMSIByPass.Z.672ADAC0	AV
Generic.AMSIByPass.Z.689DC1B0	AV
Generic.AMSIByPass.Z.69249719	AV
Generic.AMSIByPass.Z.6ABB3F62	AV
Generic.AMSIByPass.Z.6DABFFC9	AV
Generic.AMSIByPass.Z.724F64A6	AV
Generic.AMSIByPass.Z.74FE116E	AV
Generic.AMSIByPass.Z.79A56C58	AV
Generic.AMSIByPass.Z.7F317864	AV
Generic.AMSIByPass.Z.808FF03C	AV
Generic.AMSIByPass.Z.838E547A	AV
Generic.AMSIByPass.Z.84FBC0B5	AV
Generic.AMSIByPass.Z.8892EEC9	AV
Generic.AMSIByPass.Z.88FA71A1	AV
Generic.AMSIByPass.Z.8E135FF7	AV
Generic.AMSIByPass.Z.8F96324C	AV
Generic.AMSIByPass.Z.91A96EBA	AV
Generic.AMSIByPass.Z.9329364B	AV
Generic.AMSIByPass.Z.93E8E44E	AV
Generic.AMSIByPass.Z.9459C21B	AV
Generic.AMSIByPass.Z.96847106	AV
Generic.AMSIByPass.Z.987CC8B7	AV
Generic.AMSIByPass.Z.9AF986F1	AV
Generic.AMSIByPass.Z.9C1F282D	AV
Generic.AMSIByPass.Z.9CA44EA6	AV
Generic.AMSIByPass.Z.9EC3E357	AV
Generic.AMSIByPass.Z.9FAB9952	AV
Generic.AMSIByPass.Z.A00D16D4	AV
Generic.AMSIByPass.Z.A0561F0D	AV
Generic.AMSIByPass.Z.A2AEA3D5	AV
Generic.AMSIByPass.Z.A48906D2	AV
Generic.AMSIByPass.Z.A9C25646	AV
Generic.AMSIByPass.Z.AC7DC9DA	AV
Generic.AMSIByPass.Z.AD69421E	AV
Generic.AMSIByPass.Z.AE336D20	AV
Generic.AMSIByPass.Z.B22E174C	AV
Generic.AMSIByPass.Z.B8308524	AV
Generic.AMSIByPass.Z.BC11FF75	AV
Generic.AMSIByPass.Z.BD3BEA59	AV
Generic.AMSIByPass.Z.BFC463BA	AV
Generic.AMSIByPass.Z.C2D5D4EA	AV
Generic.AMSIByPass.Z.C320F9D9	AV
Generic.AMSIByPass.Z.C8064F05	AV
Generic.AMSIByPass.Z.CAA37700	AV
Generic.AMSIByPass.Z.D36B8EBA	AV
Generic.AMSIByPass.Z.D46DCE69	AV
Generic.AMSIByPass.Z.D5B7F85D	AV
Generic.AMSIByPass.Z.D6DF0510	AV
Generic.AMSIByPass.Z.D9AF4FB4	AV
Generic.AMSIByPass.Z.DB90000D	AV
Generic.AMSIByPass.Z.DE8553D9	AV
Generic.AMSIByPass.Z.DF2160E2	AV
Generic.AMSIByPass.Z.DF67C7DC	AV
Generic.AMSIByPass.Z.E028FF54	AV
Generic.AMSIByPass.Z.E15A0562	AV
Generic.AMSIByPass.Z.E474712F	AV
Generic.AMSIByPass.Z.E57543B5	AV
Generic.AMSIByPass.Z.E662B920	AV
Generic.AMSIByPass.Z.E7CE77D4	AV
Generic.AMSIByPass.Z.EAC894BE	AV
Generic.AMSIByPass.Z.EB9F02F3	AV
Generic.AMSIByPass.Z.EBADD961	AV
Generic.AMSIByPass.Z.EF32B1B7	AV
Generic.AMSIByPass.Z.EFC11588	AV
Generic.AMSIByPass.Z.F07E30A3	AV
Generic.AMSIByPass.Z.F489BB3A	AV
Generic.AMSIByPass.Z.F585BAC8	AV
Generic.AMSIByPass.Z.F7DC3917	AV
Generic.AMSIByPass.Z.F7F061B3	AV
Generic.AMSIByPass.Z.F9684F16	AV
Generic.AMSIByPass.Z.FD4EDAEE	AV
Generic.AMSIByPass.Z.FF1D9162	AV
Generic.Trojan.AmsiBypass.F.41DB1BB8	AV
Script-PowerShell.Hacktool.AMSIBypass	ATP Sandbox Adv. Heuristics
Script-PowerShell.Trojan.AmsiBypass	ATP Sandbox Adv. Heuristics
Script-PowerShell.Trojan.AMSIBypass	ATP Sandbox Adv. Heuristics
Win32.Trojan.AmsiBypass	ATP Sandbox Adv. Heuristics

Related blogs

Netskope Threat Labs Stats for June 2023

July 13, 20235 min read

Netskope Threat Labs Stats for May 2023

June 12, 20235 min read

Related families

Agent Tesla Playcrypt Tesla

References

learn.microsoft.com