FLARE-VM

Willkommen bei FLARE-VM – einer Sammlung von Software-Installationsskripten für Windows-Systeme, mit denen Sie einfach eine Reverse-Engineering-Umgebung auf einer virtuellen Maschine (VM) einrichten und verwalten können. FLARE-VM wurde entwickelt, um das Problem der Kuratierung von Reverse-Engineering-Werkzeugen zu lösen, und basiert auf zwei Haupttechnologien: Chocolatey und Boxstarter. Chocolatey ist ein Windows-basiertes Nuget-Paketverwaltungssystem, bei dem ein „Paket“ im Wesentlichen eine ZIP-Datei ist, die PowerShell-Installationsskripte enthält, die ein bestimmtes Tool herunterladen und konfigurieren. Boxstarter nutzt Chocolatey-Pakete, um die Installation von Software zu automatisieren und wiederholbare, skriptgesteuerte Windows-Umgebungen zu erstellen.

Anforderungen

FLARE-VM sollte NUR auf einer virtuellen Maschine installiert werden. Die VM sollte die folgenden Anforderungen erfüllen:

• Windows ≥ 10
• PowerShell ≥ 5
• Festplattenkapazität von mindestens 60 GB und Arbeitsspeicher von mindestens 2 GB
• Benutzernamen ohne Leerzeichen oder andere Sonderzeichen
• Internetverbindung
• Tamper Protection und jede Anti-Malware-Lösung (z. B. Windows Defender) deaktiviert, vorzugsweise über Gruppenrichtlinien
• Windows-Updates deaktiviert

Installationsanleitung

Dieser Abschnitt dokumentiert die Schritte zur Installation von FLARE-VM. Möglicherweise ist auch das Video Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM video hilfreich.

Vorbereitung

• Bereiten Sie eine Windows 10+ virtuelle Maschine vor
  • Installieren Sie Windows in der virtuellen Maschine, z. B. mit der rohen Windows 10 ISO von https://www.microsoft.com/en-us/software-download/windows10ISO
  • Stellen Sie sicher, dass die oben genannten Anforderungen erfüllt sind, einschließlich:
    • Deaktivieren Sie Windows-Updates (zumindest bis die Installation abgeschlossen ist)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Deaktivieren Sie Tamper Protection und jede Anti-Malware-Lösung (z. B. Windows Defender), vorzugsweise über Gruppenrichtlinien.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Nicht-GPO - Manuell: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Nicht-GPO - Automatisiert: https://github.com/ionuttbara/windows-defender-remover
      • Nicht-GPO - Semi-automatisiert (Benutzer muss Tamper Protection deaktivieren): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Erstellen Sie einen VM-Snapshot, damit Sie jederzeit zu einem Zustand vor der FLARE-VM-Installation zurückkehren können
• HINWEIS für IDA Pro: Wenn Sie IDA Pro über idapro.vm installieren, müssen Sie Ihren IDA Pro-Installer (und optional Ihre Lizenzdatei) vor dem Ausführen des FLARE-VM-Installers auf dem Desktop platzieren.

FLARE-VM-Installation

• Öffnen Sie eine PowerShell-Eingabeaufforderung als Administrator
• Laden Sie das Installationsskript installer.ps1 auf Ihren Desktop herunter:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Entsperren Sie das Installationsskript:
  • Unblock-File .\install.ps1
• Aktivieren Sie die Skriptausführung:
  • Set-ExecutionPolicy Unrestricted -Force
    • Wenn Sie eine Fehlermeldung erhalten, dass die Ausführungsrichtlinie durch eine Richtlinie überschrieben wird, die in einem spezifischeren Bereich definiert ist, müssen Sie möglicherweise einen Bereich über Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force übergeben. Um Ausführungsrichtlinien für alle Bereiche anzuzeigen, führen Sie Get-ExecutionPolicy -List aus.
• Führen Sie schließlich das Installationsskript wie folgt aus:
  • .\install.ps1

Installer-Parameter

Nachfolgend die Beschreibungen der CLI-Parameter.

PARAMETERS
    -password <String>
        Current user password to allow reboot resiliency via Boxstarter. The script prompts for the password if not provided.

    -noPassword [<SwitchParameter>]
        Switch parameter indicating a password is not needed for reboots.

    -customConfig <String>
        Path to a configuration XML file. May be a file path or URL.

    -customLayout <String>
        Path to a taskbar layout XML file. May be a file path or URL.

    -noWait [<SwitchParameter>]
        Switch parameter to skip installation message before installation begins.

    -noGui [<SwitchParameter>]
        Switch parameter to skip customization GUI.

    -noReboots [<SwitchParameter>]
        Switch parameter to prevent reboots (not recommended).

    -noChecks [<SwitchParameter>]
        Switch parameter to skip validation checks (not recommended).

Erhalten Sie vollständige Nutzungsinformationen durch Ausführen von Get-Help .\install.ps1 -Detailed.

Installer-GUI

Die Installer-GUI wird nach Durchführung der Validierungsprüfungen und Installation von Boxstarter und Chocolatey angezeigt (falls diese nicht bereits installiert sind). Mit der Installer-GUI können Sie Folgendes anpassen:

• Paketauswahl aus FLARE-VM und der Chocolatey-Community
• Umgebungsvariablen-Pfade

Konfiguration

Der Installer lädt config.xml aus dem FLARE-VM-Repository herunter. Diese Datei enthält die Standardkonfiguration, einschließlich der Liste der zu installierenden Pakete und der Umgebungsvariablen-Pfade. Sie können Ihre eigene Konfiguration verwenden, indem Sie das CLI-Argument -customConfig angeben und entweder einen lokalen Dateipfad oder eine URL zu Ihrer config.xml-Datei bereitstellen. Zum Beispiel:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Taskleisten-Layout

Der Installer verwendet CustomStartLayout.xml aus dem FLARE-VM-Repository. Diese Datei enthält das Standard-Taskleisten-Layout. Sie können Ihre eigene Konfiguration verwenden, indem Sie das CLI-Argument -customLayout angeben und einen lokalen Dateipfad oder eine URL zu Ihrer CustomStartLayout.xml-Datei bereitstellen. Zum Beispiel:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

Zu beachtende Punkte:

• Elemente in der .xml, die nicht installiert sind, werden nicht in der Taskleiste angezeigt (es werden keine defekten Links angeheftet)
• Es können nur Anwendungen (.exe-Dateien) oder Verknüpfungen zu Anwendungen angeheftet werden.
• Wenn Sie etwas anheften möchten, das keine Anwendung ist, sollten Sie eine Verknüpfung zu cmd.exe oder powershell mit den entsprechenden Argumenten erstellen, die die gewünschten Aktionen ausführt.
• Wenn Sie etwas mit Administratorrechten ausführen möchten, erstellen Sie eine Verknüpfung mit VM-Install-Shortcut und dem Flag -runAsAdmin und heften Sie die Verknüpfung an.

Schritte nach der Installation

Sie können jeden beliebigen Schritt nach der Installation in die Konfiguration innerhalb der Tags apps, services, path-items, registry-items und custom-items einfügen.

Zum Beispiel:

• Um bekannte Dateierweiterungen anzuzeigen:

    <registry-items>
        <registry-item name="Show known file extensions" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

Weitere Beispiele finden Sie in der Standardkonfigurationsdatei: config.xml.

Mitwirken

• Lesen Sie unseren CONTRIBUTING-Leitfaden, um zu erfahren, wie Sie zum Projekt beitragen können.

Fehlerbehebung

Wenn Ihre Installation fehlschlägt, versuchen Sie bitte, den Grund für den Installationsfehler zu identifizieren, indem Sie die unten aufgeführten Logdateien auf Ihrem System durchlesen:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

Stellen Sie sicher, dass Sie die neueste Version des FLARE-VM-Installers ausführen und dass Ihre VM die Anforderungen erfüllt.

Installer-Fehler

Wenn die Installation aufgrund eines Problems im Installationsskript (z. B. install.ps1) fehlgeschlagen ist, melden Sie den Fehler in FLARE-VM. Geben Sie alle angeforderten Informationen an, um sicherzustellen, dass wir Ihnen helfen können.

Hinweis: In seltenen Fällen ist install.ps1 der Grund für einen Installationsfehler. Höchstwahrscheinlich liegt es an einem bestimmten Paket oder einer Gruppe von Paketen, die fehlschlagen (siehe unten).

Paketfehler

Pakete schlagen von Zeit zu Zeit fehl – das ist normal. Die häufigsten Gründe sind unten aufgeführt:

1. Fehler oder Zeitüberschreitung beim Herunterladen einer .nupkg-Datei von Chocolatey oder MyGet
2. Fehler oder Zeitüberschreitung aufgrund des Remote-Hosts beim Herunterladen eines Tools
3. Ein Intrusion Detection System (IDS) oder AV-Produkt (z. B. Windows Defender) verhindert den Download eines Tools oder entfernt das Tool vom System
4. Hostspezifisches Problem, z. B. bei Verwendung einer nicht getesteten Version
5. Tool kann aufgrund von Abhängigkeiten nicht erstellt werden
6. Alte Tool-URL (z. B. HTTP STATUS 404)
7. Der SHA256-Hash des Tools hat sich gegenüber dem im Paketinstallationsskript fest codierten geändert

Gründe 1-4 sind für uns schwer zu beheben, da wir sie nicht kontrollieren. Wenn ein Problem im Zusammenhang mit den Gründen 1-4 gemeldet wird, werden wir wahrscheinlich nicht helfen können.

Wir können bei Gründen 5-7 helfen und heißen die Community willkommen, ebenfalls Korrekturen beizutragen! Bitte melden Sie den Fehler in VM-Packages und geben Sie alle angeforderten Informationen an.

Aktualisierungen

Beachten Sie, dass Paketaktualisierungen nach bestem Bemühen erfolgen und nicht getestet werden. Wenn Sie auf Fehler stoßen, führen Sie eine frische FLARE-VM-Installation durch.

Mailingliste

Abonnieren Sie die FLARE-Mailingliste für Community-Ankündigungen! Senden Sie eine E-Mail mit dem Betreff „subscribe“ an [email protected].

Rechtlicher Hinweis

Dieses Download-Konfigurationsskript wird bereitgestellt, um Cybersicherheitsanalysten bei der Erstellung praktischer und vielseitiger Toolboxen für Malware-Analyseumgebungen zu unterstützen. Es bietet eine bequeme Schnittstelle, um eine nützliche Sammlung von Analysetools direkt von ihren ursprünglichen Quellen zu beziehen. Die Installation und Nutzung dieses Skripts unterliegt der Apache 2.0-Lizenz. Sie als Benutzer dieses Skripts müssen die Lizenzbedingungen jedes heruntergeladenen/installierten Pakets überprüfen, akzeptieren und einhalten. Mit der Installation akzeptieren Sie die Lizenzbedingungen jedes Pakets und bestätigen, dass die Nutzung jedes Pakets den jeweiligen Lizenzbedingungen unterliegt.