FLARE-VM

مرحبًا بك في FLARE-VM - مجموعة من نصوص تثبيت البرامج لأنظمة Windows تتيح لك إعداد بيئة هندسة عكسية والحفاظ عليها بسهولة على جهاز افتراضي (VM). تم تصميم FLARE-VM لحل مشكلة تنظيم أدوات الهندسة العكسية ويعتمد على تقنيتين رئيسيتين: Chocolatey و Boxstarter. Chocolatey هو نظام إدارة حزم Nuget يعتمد على Windows، حيث تكون "الحزمة" في الأساس ملف ZIP يحتوي على نصوص PowerShell التي تقوم بتنزيل أداة معينة وتكوينها. يستخدم Boxstarter حزم Chocolatey لأتمتة تثبيت البرامج وإنشاء بيئات Windows قابلة للتكرار ومبرمجة.

المتطلبات

يجب تثبيت FLARE-VM فقط على جهاز افتراضي. يجب أن يفي الجهاز الافتراضي بالمتطلبات التالية:

• Windows ≥ 10
• PowerShell ≥ 5
• سعة قرص لا تقل عن 60 جيجابايت وذاكرة لا تقل عن 2 جيجابايت
• أسماء مستخدمين بدون مسافات أو أحرف خاصة أخرى
• اتصال بالإنترنت
• تعطيل حماية العبث وأي حل لمكافحة البرامج الضارة (مثل Windows Defender)، ويفضل عبر نهج المجموعة
• تعطيل تحديثات Windows

تعليمات التثبيت

يوثق هذا القسم الخطوات اللازمة لتثبيت FLARE-VM. قد تجد أيضًا الفيديو بناء جهاز افتراضي للهندسة العكسية وتحليل البرامج الضارة! تثبيت FLARE-VM مفيدًا.

قبل التثبيت

• تحضير جهاز افتراضي بنظام Windows 10+
  • تثبيت Windows في الجهاز الافتراضي، على سبيل المثال باستخدام ISO Windows 10 الخام من https://www.microsoft.com/en-us/software-download/windows10ISO
  • التأكد من استيفاء المتطلبات أعلاه، بما في ذلك:
    • تعطيل تحديثات Windows (على الأقل حتى انتهاء التثبيت)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • تعطيل حماية العبث وأي حل لمكافحة البرامج الضارة (مثل Windows Defender)، ويفضل عبر نهج المجموعة.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • غير GPO - يدوي: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • غير GPO - آلي: https://github.com/ionuttbara/windows-defender-remover
      • غير GPO - شبه آلي (يحتاج المستخدم إلى إيقاف حماية العبث): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• أخذ لقطة للجهاز الافتراضي حتى تتمكن دائمًا من العودة إلى حالة قبل تثبيت FLARE-VM
• ملاحظة لـ IDA Pro: إذا كنت تقوم بتثبيت IDA Pro عبر idapro.vm، يجب عليك وضع مثبت IDA Pro (وبشكل اختياري ملف الترخيص الخاص بك) على سطح المكتب قبل تشغيل مثبت FLARE-VM.

تثبيت FLARE-VM

• افتح موجه PowerShell كمسؤول
• قم بتنزيل نص التثبيت installer.ps1 إلى سطح المكتب:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• قم بإلغاء حظر نص التثبيت:
  • Unblock-File .\install.ps1
• تمكين تنفيذ النص:
  • Set-ExecutionPolicy Unrestricted -Force
    • إذا تلقيت خطأ يفيد بأن سياسة التنفيذ تم تجاوزها بواسطة سياسة محددة في نطاق أكثر تحديدًا، فقد تحتاج إلى تمرير نطاق عبر Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. لعرض سياسات التنفيذ لجميع النطاقات، قم بتنفيذ Get-ExecutionPolicy -List
• أخيرًا، قم بتنفيذ نص التثبيت كما يلي:
  • .\install.ps1
    • لتمرير كلمة المرور الخاصة بك كوسيطة: .\install.ps1 -password <password>

معلمات المثبت

فيما يلي أوصاف معلمات CLI.

PARAMETERS
    -password <String>
        كلمة مرور المستخدم الحالي للسماح بمرونة إعادة التشغيل عبر Boxstarter. يطلب النص كلمة المرور إذا لم يتم توفيرها.

    -noPassword [<SwitchParameter>]
        معلمة تبديل تشير إلى أن كلمة المرور غير مطلوبة لإعادة التشغيل.

    -customConfig <String>
        مسار إلى ملف تهيئة XML. يمكن أن يكون مسار ملف أو عنوان URL.

    -customLayout <String>
        مسار إلى ملف تخطيط شريط المهام XML. يمكن أن يكون مسار ملف أو عنوان URL.

    -noWait [<SwitchParameter>]
        معلمة تبديل لتخطي رسالة التثبيت قبل بدء التثبيت.

    -noGui [<SwitchParameter>]
        معلمة تبديل لتخطي واجهة المستخدم الرسومية للتخصيص.

    -noReboots [<SwitchParameter>]
        معلمة تبديل لمنع إعادة التشغيل (غير موصى به).

    -noChecks [<SwitchParameter>]
        معلمة تبديل لتخطي فحوصات التحقق (غير موصى به).

احصل على معلومات الاستخدام الكاملة عن طريق تشغيل Get-Help .\install.ps1 -Detailed.

واجهة المستخدم الرسومية للمثبت

تُعرض واجهة المستخدم الرسومية للمثبت بعد تنفيذ فحوصات التحقق وتثبيت Boxstarter و Chocolatey (إذا لم يكونا مثبتين بالفعل). باستخدام واجهة المستخدم الرسومية للمثبت، يمكنك تخصيص:

• اختيار الحزم من مجتمع FLARE-VM و Chocolatey
• مسارات متغيرات البيئة

التهيئة

سيقوم المثبت بتنزيل config.xml من مستودع FLARE-VM. يحتوي هذا الملف على التهيئة الافتراضية، بما في ذلك قائمة الحزم المراد تثبيتها ومسارات متغيرات البيئة. يمكنك استخدام التهيئة الخاصة بك عن طريق تحديد وسيطة CLI -customConfig وتقديم مسار ملف محلي أو URL لملف config.xml الخاص بك. على سبيل المثال:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

تخطيط شريط المهام

سيستخدم المثبت CustomStartLayout.xml من مستودع FLARE-VM. يحتوي هذا الملف على التخطيط الافتراضي لشريط المهام. يمكنك استخدام التهيئة الخاصة بك عن طريق تحديد وسيطة CLI -customLayout وتقديم مسار ملف محلي أو URL لملف CustomStartLayout.xml الخاص بك. على سبيل المثال:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

أشياء يجب مراعاتها:

• العناصر الموجودة في .xml غير المثبتة لن تظهر في شريط المهام (لن يتم تثبيت روابط معطلة)
• يمكن تثبيت التطبيقات فقط (ملفات .exe) أو الاختصارات للتطبيقات.
• إذا كنت ترغب في تثبيت شيء ليس تطبيقًا، فكر في إنشاء اختصار يشير إلى cmd.exe أو powershell مع وسائط مزودة ستقوم بالإجراءات التي تريدها.
• إذا كنت ترغب في تشغيل شيء ما بحقوق المسؤول، فكر في إنشاء اختصار باستخدام VM-Install-Shortcut مع العلامة -runAsAdmin وتثبيت الاختصار.

خطوات ما بعد التثبيت

يمكنك تضمين أي خطوة بعد التثبيت ترغب فيها في التهيئة داخل الوسوم apps و services و path-items و registry-items و custom-items.

على سبيل المثال:

• لإظهار امتدادات الملفات المعروفة:

    <registry-items>
        <registry-item name="Show known file extensions" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

لمزيد من الأمثلة، راجع ملف التهيئة الافتراضي: config.xml.

المساهمة

• راجع دليل المساهمة لتعلم كيفية المساهمة في المشروع.

استكشاف الأخطاء وإصلاحها

إذا فشل التثبيت، يرجى محاولة تحديد سبب خطأ التثبيت من خلال قراءة ملفات السجل المدرجة أدناه على نظامك:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

تأكد من تشغيل أحدث إصدار من مثبت FLARE-VM وأن جهازك الافتراضي يستوفي المتطلبات.

خطأ في المثبت

إذا فشل التثبيت بسبب مشكلة في نص التثبيت (مثل install.ps1)، أبلغ عن الخلل في FLARE-VM. قدم جميع المعلومات المطلوبة لضمان قدرتنا على مساعدتك.

ملاحظة: نادرًا ما يكون install.ps1 هو سبب فشل التثبيت. على الأرجح هي حزمة محددة أو مجموعة من الحزم التي تفشل (انظر أدناه).

خطأ في الحزمة

تفشل الحزم في التثبيت من وقت لآخر - وهذا أمر طبيعي. الأسباب الأكثر شيوعًا موضحة أدناه:

1. فشل أو انتهاء مهلة من Chocolatey أو MyGet لتنزيل ملف .nupkg
2. فشل أو انتهاء مهلة بسبب المضيف البعيد عند تنزيل أداة
3. نظام كشف التسلل (IDS) أو منتج مكافحة الفيروسات (مثل Windows Defender) يمنع تنزيل أداة أو يزيل الأداة من النظام
4. مشكلة خاصة بالمضيف، على سبيل المثال عند استخدام إصدار غير مختبر
5. فشل الأداة في البناء بسبب التبعيات
6. عنوان URL قديم للأداة (مثل HTTP STATUS 404)
7. تغير تجزئة SHA256 للأداة عما هو مبرمج في نص تثبيت الحزمة

الأسباب 1-4 يصعب علينا إصلاحها لأننا لا نتحكم فيها. إذا تم تقديم مشكلة تتعلق بالأسباب 1-4، فمن غير المرجح أن نتمكن من المساعدة.

يمكننا المساعدة في الأسباب 5-7 ونرحب بالمجتمع للمساهمة بالإصلاحات أيضًا! يرجى الإبلاغ عن الخلل في VM-Packages مع تقديم جميع المعلومات المطلوبة.

التحديثات

لاحظ أن تحديثات الحزمة تتم بأفضل جهد وأن التحديثات لا يتم اختبارها. إذا واجهت أخطاء، قم بإجراء تثبيت جديد لـ FLARE-VM.

القائمة البريدية

اشترك في القائمة البريدية لـ FLARE للحصول على إعلانات المجتمع! أرسل بريدًا إلكترونيًا يحتوي على "subscribe" إلى [email protected].

إشعار قانوني

يتم توفير نص التهيئة للتنزيل هذا لمساعدة محللي الأمن السيبراني في إنشاء صناديق أدوات مفيدة ومتعددة الاستخدامات لبيئات تحليل البرامج الضارة. يوفر واجهة مناسبة لهم للحصول على مجموعة مفيدة من أدوات التحليل مباشرة من مصادرها الأصلية. يخضع تثبيت واستخدام هذا النص لترخيص Apache 2.0. يجب عليك كمستخدم لهذا النص مراجعة وقبول والامتثال لشروط ترخيص كل حزمة تم تنزيلها/تثبيتها. بالمضي قدمًا في التثبيت، فإنك تقبل شروط ترخيص كل حزمة، وتقر بأن استخدامك لكل حزمة سيخضع لشروط الترخيص الخاصة بها.