AV\EDR amsi bypass

[CCod]

Я тестирую свой пауэршелл пэйлоад и байпасс для амси.Когда я сначала выполняю байпасс,а потом пэйлоад то все работает.Когда я объеденяю все в один скрипт ,амси его блочит.В качестве байпасса исполльзую
[Ref].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField('amsiInitFailed','NonPublic,Static').SetValue($null,$true).В чем проблема ?

 

[Maxik2005]

потому что, когда скрипт объединён, амси ещё включен и проверяет весь код перед началом исполнения. то есть проверяется всё вместе, не каждая строка перед её исполнением.