FLARE-VM

Willkommen bei FLARE-VM – einer Sammlung von Software-Installationsskripten für Windows-Systeme, mit denen Sie einfach eine Reverse-Engineering-Umgebung auf einer virtuellen Maschine (VM) einrichten und verwalten können. FLARE-VM wurde entwickelt, um das Problem der Kuratierung von Reverse-Engineering-Werkzeugen zu lösen, und basiert auf zwei Haupttechnologien: Chocolatey und Boxstarter. Chocolatey ist ein Windows-basiertes Nuget-Paketverwaltungssystem, bei dem ein „Paket“ im Wesentlichen eine ZIP-Datei ist, die PowerShell-Installationsskripte enthält, die ein bestimmtes Tool herunterladen und konfigurieren. Boxstarter nutzt Chocolatey-Pakete, um die Installation von Software zu automatisieren und wiederholbare, skriptgesteuerte Windows-Umgebungen zu erstellen.

Anforderungen

FLARE-VM sollte NUR auf einer virtuellen Maschine installiert werden. Die VM sollte die folgenden Anforderungen erfüllen:

• Windows ≥ 10
• PowerShell ≥ 5
• Festplattenkapazität von mindestens 60 GB und Arbeitsspeicher von mindestens 2 GB
• Benutzernamen ohne Leerzeichen oder andere Sonderzeichen
• Internetverbindung
• Tamper Protection und jede Anti-Malware-Lösung (z. B. Windows Defender) deaktiviert, vorzugsweise über Gruppenrichtlinien
• Windows-Updates deaktiviert

Installationsanleitung

Dieser Abschnitt dokumentiert die Schritte zur Installation von FLARE-VM. Möglicherweise ist auch das Video Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM video hilfreich.

Vorbereitung

• Bereiten Sie eine Windows 10+ virtuelle Maschine vor
  • Installieren Sie Windows in der virtuellen Maschine, z. B. mit der rohen Windows 10 ISO von https://www.microsoft.com/en-us/software-download/windows10ISO
  • Stellen Sie sicher, dass die oben genannten Anforderungen erfüllt sind, einschließlich:
    • Deaktivieren Sie Windows-Updates (zumindest bis die Installation abgeschlossen ist)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Deaktivieren Sie Tamper Protection und jede Anti-Malware-Lösung (z. B. Windows Defender), vorzugsweise über Gruppenrichtlinien.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Nicht-GPO - Manuell: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Nicht-GPO - Automatisiert: https://github.com/ionuttbara/windows-defender-remover
      • Nicht-GPO - Semi-automatisiert (Benutzer muss Tamper Protection deaktivieren): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Erstellen Sie einen VM-Snapshot, damit Sie jederzeit zu einem Zustand vor der FLARE-VM-Installation zurückkehren können
• HINWEIS für IDA Pro: Wenn Sie IDA Pro über idapro.vm installieren, müssen Sie Ihren IDA Pro-Installer (und optional Ihre Lizenzdatei) vor dem Ausführen des FLARE-VM-Installers auf dem Desktop platzieren.

FLARE-VM-Installation

• Öffnen Sie eine PowerShell-Eingabeaufforderung als Administrator
• Laden Sie das Installationsskript installer.ps1 auf Ihren Desktop herunter:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Entsperren Sie das Installationsskript:
  • Unblock-File .\install.ps1
• Aktivieren Sie die Skriptausführung:
  • Set-ExecutionPolicy Unrestricted -Force
    • Wenn Sie eine Fehlermeldung erhalten, dass die Ausführungsrichtlinie durch eine Richtlinie überschrieben wird, die in einem spezifischeren Bereich definiert ist, müssen Sie möglicherweise einen Bereich über Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force übergeben. Um Ausführungsrichtlinien für alle Bereiche anzuzeigen, führen Sie Get-ExecutionPolicy -List aus.
• Führen Sie schließlich das Installationsskript wie folgt aus:
  • .\install.ps1
    • Um Ihr Passwort als Argument zu übergeben: .\install.ps1 -password <password>
    • Um den reinen CLI-Modus mit minimaler Benutzerinteraktion zu verwenden: .\install.ps1 -password <password> -noWait -noGui
    • Um den reinen CLI-Modus mit minimaler Benutzerinteraktion und einer benutzerdefinierten Konfigurationsdatei zu verwenden: .\install.ps1 -customConfig <config.xml> -password <password> -noWait -noGui
• Nach der Installation wird empfohlen, in den Netzwerkmodus nur Host zu wechseln und einen VM-Snapshot zu erstellen

Installer-Parameter

Nachfolgend die Beschreibungen der CLI-Parameter.

PARAMETERS
    -password <String>
        Current user password to allow reboot resiliency via Boxstarter. The script prompts for the password if not provided.

    -noPassword [<SwitchParameter>]
        Switch parameter indicating a password is not needed for reboots.

    -customConfig <String>
        Path to a configuration XML file. May be a file path or URL.

    -customLayout <String>
        Path to a taskbar layout XML file. May be a file path or URL.

    -noWait [<SwitchParameter>]
        Switch parameter to skip installation message before installation begins.

    -noGui [<SwitchParameter>]
        Switch parameter to skip customization GUI.

    -noReboots [<SwitchParameter>]
        Switch parameter to prevent reboots (not recommended).

    -noChecks [<SwitchParameter>]
        Switch parameter to skip validation checks (not recommended).

Erhalten Sie vollständige Nutzungsinformationen durch Ausführen von Get-Help .\install.ps1 -Detailed.

Installer-GUI

Die Installer-GUI wird nach Durchführung der Validierungsprüfungen und Installation von Boxstarter und Chocolatey angezeigt (falls diese nicht bereits installiert sind). Mit der Installer-GUI können Sie Folgendes anpassen:

• Paketauswahl aus FLARE-VM und der Chocolatey-Community
• Umgebungsvariablen-Pfade

Konfiguration

Der Installer lädt config.xml aus dem FLARE-VM-Repository herunter. Diese Datei enthält die Standardkonfiguration, einschließlich der Liste der zu installierenden Pakete und der Umgebungsvariablen-Pfade. Sie können Ihre eigene Konfiguration verwenden, indem Sie das CLI-Argument -customConfig angeben und entweder einen lokalen Dateipfad oder eine URL zu Ihrer config.xml-Datei bereitstellen. Zum Beispiel:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Taskleisten-Layout

Der Installer verwendet CustomStartLayout.xml aus dem FLARE-VM-Repository. Diese Datei enthält das Standard-Taskleisten-Layout. Sie können Ihre eigene Konfiguration verwenden, indem Sie das CLI-Argument -customLayout angeben und einen lokalen Dateipfad oder eine URL zu Ihrer CustomStartLayout.xml-Datei bereitstellen. Zum Beispiel:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"