FileInsight-plugins: decoding toolbox des McAfee FileInsight Hex-Editors für die Malware-Analyse

FileInsight-plugins ist eine große Sammlung von Plugins für den McAfee FileInsight Hex-Editor. Es erweitert den Editor um viele Funktionen wie Entschlüsselung, Dekompression, Suche nach XOR-verschlüsselten Textstrings, Scannen mit YARA-Regeln, Code-Emulation, Disassemblierung und mehr! Es ist nützlich für verschiedene Arten von Decodierungsaufgaben in der Malware-Analyse (z.B. Extrahieren von Malware-Executables und Decoy-Dokumenten aus bösartigen Dokumentdateien).

Für diejenigen, die nach dem FileInsight-Installer suchen, ist er verfügbar unter https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi.

• Screenshots
• Präsentationen
• Anwendungsfälle
• Installation
• Verwendung
• Aktualisierung
• Anpassung
• Liste der Plugins (153 Plugins)

Screenshots

Dialog des Plugins "AES entschlüsseln"

Scanergebnis des Plugins "YARA-Scan"

Datenstruktur einer ELF-Executable, analysiert durch das Plugin "Dateistruktur parsen"

Emulations-Trace eines ARM64 Linux-Shellcodes, emuliert durch das Plugin "Code emulieren"

Disassemblierungsausgabe eines x86 Linux-Shellcodes, zerlegt durch das Plugin "Disassemblieren"

Bitmap-Darstellung einer Windows-Executable, visualisiert durch das Plugin "Bitmap-Ansicht"

Byte-Histogramm einer Excel-Datei, angezeigt durch das Plugin "Byte-Histogramm"

Entropie-Diagramm einer Windows-Executable, angezeigt durch das Plugin "Entropie-Diagramm"

Präsentationen

Black Hat USA 2021 Arsenal

• Abstract auf der Black Hat USA-Website
• Folien
• Demo-Video

CODE BLUE 2019 Bluebox

• Abstract auf der CODE BLUE-Website
• Folien (Englisch)
• Folien (Japanisch)

Anwendungsfälle

• Anwendungsfall 1: In Excel-Datei eingebettete ausführbare Datei
• Anwendungsfall 2: In RTF-Datei eingebettete ausführbare Datei
• Anwendungsfall 3: Verschleierte PHP-Webshell
• Anwendungsfall 4: YARA-Regeltest
• Anwendungsfall 5: Code-Emulation

Installation

Bitte führen Sie den folgenden Befehl aus. Die neueste Release-Version von FileInsight-plugins und die Voraussetzungen einschließlich FileInsight und Python 3.12.x (x64) werden installiert.

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

Wenn Sie einen Proxyserver verwenden (z.B. IP-Adresse: 10.0.0.1, Port: 8080), führen Sie bitte die folgenden Befehle aus.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

Es gibt einige Python-Module, die manuell installiert werden müssen. Bitte folgen Sie den von den Plugins angezeigten Installationsanweisungen.

Verwendung

Bitte klicken Sie im Tab "Plugins" auf "Operationen" und wählen Sie dann ein Plugin aus.

Sie können Plugins auch über das Rechtsklick-Kontextmenü verwenden.

Einige Plugins zeigen bei der Verwendung einen zusätzlichen Dialog für Plugineinstellungen an.

Aktualisierung

Wenn Sie FileInsight-plugins auf die neueste Release-Version aktualisieren möchten, klicken Sie bitte auf "Nach Update suchen" im Plugin-Menü. Das PowerShell-Installationsskript (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) wird ausgeführt, wenn eine neue Version verfügbar ist. Vorhandene Dateien werden überschrieben.

Sie können auch mit dem folgenden Befehl aktualisieren ("Nach Update suchen" führt diesen Befehl aus).

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"

Wenn Sie einen Proxyserver verwenden (z.B. IP-Adresse: 10.0.0.1, Port: 8080), führen Sie bitte die folgenden Befehle aus.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1 -update

Wenn Sie FileInsight-plugins auf den neuesten Snapshot aktualisieren möchten, fügen Sie bitte die Option "-snapshot" hinzu.

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update -snapshot"