FLARE-VM

Bienvenido a FLARE-VM, una colección de scripts de instalación de software para sistemas Windows que te permite configurar y mantener fácilmente un entorno de ingeniería inversa en una máquina virtual (VM). FLARE-VM fue diseñado para resolver el problema de la curación de herramientas de ingeniería inversa y se basa en dos tecnologías principales: Chocolatey y Boxstarter. Chocolatey es un sistema de gestión de paquetes Nuget para Windows, donde un "paquete" es esencialmente un archivo ZIP que contiene scripts de instalación de PowerShell que descargan y configuran una herramienta específica. Boxstarter aprovecha los paquetes de Chocolatey para automatizar la instalación de software y crear entornos Windows repetibles y scripteados.

Requisitos

FLARE-VM DEBE instalarse ÚNICAMENTE en una máquina virtual. La máquina virtual debe cumplir los siguientes requisitos:

• Windows ≥ 10
• PowerShell ≥ 5
• Capacidad de disco de al menos 60 GB y memoria de al menos 2 GB
• Nombres de usuario sin espacios ni otros caracteres especiales
• Conexión a Internet
• Protección contra manipulaciones y cualquier solución antimalware (por ejemplo, Windows Defender) desactivada, preferiblemente mediante Directiva de Grupo
• Actualizaciones de Windows desactivadas

Instrucciones de instalación

Esta sección documenta los pasos para instalar FLARE-VM. También puede resultarte útil el vídeo Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Preinstalación

• Prepara una máquina virtual con Windows 10+
  • Instala Windows en la máquina virtual, por ejemplo usando la ISO original de Windows 10 desde https://www.microsoft.com/en-us/software-download/windows10ISO
  • Asegúrate de que se cumplen los requisitos anteriores, incluyendo:
    • Desactivar las Actualizaciones de Windows (al menos hasta que finalice la instalación)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Desactivar la Protección contra manipulaciones y cualquier solución antimalware (por ejemplo, Windows Defender), preferiblemente mediante Directiva de Grupo.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Sin GPO - Manual: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Sin GPO - Automatizado: https://github.com/ionuttbara/windows-defender-remover
      • Sin GPO - Semiautomatizado (el usuario debe desactivar la Protección contra manipulaciones): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Toma una instantánea de la máquina virtual para poder revertir siempre a un estado anterior a la instalación de FLARE-VM
• NOTA para IDA Pro: Si vas a instalar IDA Pro mediante idapro.vm, debes colocar el instalador de IDA Pro (y opcionalmente, tu archivo de licencia) en el Escritorio antes de ejecutar el instalador de FLARE-VM.

Instalación de FLARE-VM

• Abre una ventana de PowerShell como administrador
• Descarga el script de instalación installer.ps1 en tu Escritorio:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Desbloquea el script de instalación:
  • Unblock-File .\install.ps1
• Habilita la ejecución de scripts:
  • Set-ExecutionPolicy Unrestricted -Force
    • Si recibes un error indicando que la directiva de ejecución está anulada por una directiva definida en un ámbito más específico, es posible que debas pasar un ámbito mediante Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Para ver las directivas de ejecución de todos los ámbitos, ejecuta Get-ExecutionPolicy -List
• Finalmente, ejecuta el script del instalador de la siguiente manera:
  • .\install.ps1
    • Para pasar tu contraseña como argumento: .\install.ps1 -password <contraseña>
    • Para usar el modo solo CLI con interacción mínima del usuario: .\install.ps1 -password <contraseña> -noWait -noGui
    • Para usar el modo solo CLI con interacción mínima del usuario y un archivo de configuración personalizado: .\install.ps1 -customConfig <config.xml> -password <contraseña> -noWait -noGui
• Después de la instalación, se recomienda cambiar al modo de red solo anfitrión y tomar una instantánea de la máquina virtual

Parámetros del instalador

A continuación se describen los parámetros de la CLI.

PARAMETERS
    -password <String>
        Contraseña del usuario actual para permitir la resiliencia ante reinicios mediante Boxstarter. El script solicita la contraseña si no se proporciona.

    -noPassword [<SwitchParameter>]
        Parámetro de conmutación que indica que no se necesita contraseña para los reinicios.

    -customConfig <String>
        Ruta a un archivo de configuración XML. Puede ser una ruta de archivo o una URL.

    -customLayout <String>
        Ruta a un archivo XML de diseño de la barra de tareas. Puede ser una ruta de archivo o una URL.

    -noWait [<SwitchParameter>]
        Parámetro de conmutación para omitir el mensaje de instalación antes de que comience la instalación.

    -noGui [<SwitchParameter>]
        Parámetro de conmutación para omitir la GUI de personalización.

    -noReboots [<SwitchParameter>]
        Parámetro de conmutación para evitar reinicios (no recomendado).

    -noChecks [<SwitchParameter>]
        Parámetro de conmutación para omitir las comprobaciones de validación (no recomendado).

Obtén información de uso completa ejecutando Get-Help .\install.ps1 -Detailed.

Interfaz gráfica del instalador

La GUI del instalador se muestra después de ejecutar las comprobaciones de validación e instalar Boxstarter y Chocolatey (si aún no están instalados). Usando la GUI del instalador, puedes personalizar:

• Selección de paquetes de FLARE-VM y la comunidad de Chocolatey
• Rutas de variables de entorno

Configuración

El instalador descargará config.xml del repositorio de FLARE-VM. Este archivo contiene la configuración predeterminada, incluyendo la lista de paquetes a instalar y las rutas de las variables de entorno. Puedes usar tu propia configuración especificando el argumento de CLI -customConfig y proporcionando una ruta de archivo local o una URL a tu archivo config.xml. Por ejemplo:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Diseño de la barra de tareas

El instalador usará CustomStartLayout.xml del repositorio de FLARE-VM. Este archivo contiene el diseño predeterminado de la barra de tareas. Puedes usar tu propia configuración especificando el argumento de CLI -customLayout y proporcionando una ruta de archivo local o una URL a tu archivo CustomStartLayout.xml. Por ejemplo:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"