flare-vm

Una colección de scripts de instalación de software para sistemas Windows que te permite configurar y mantener fácilmente un entorno de ingeniería inversa en una máquina virtual.

Preinstalación

• Prepara una máquina virtual con Windows 10+
  • Instala Windows en la máquina virtual, por ejemplo usando la ISO original de Windows 10 desde https://www.microsoft.com/en-us/software-download/windows10ISO
  • Asegúrate de que se cumplen los requisitos anteriores, incluyendo:
    • Desactivar las Actualizaciones de Windows (al menos hasta que finalice la instalación)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Desactivar la Protección contra manipulaciones y cualquier solución antimalware (por ejemplo, Windows Defender), preferiblemente mediante Directiva de Grupo.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Sin GPO - Manual: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Sin GPO - Automatizado: https://github.com/ionuttbara/windows-defender-remover
      • Sin GPO - Semiautomatizado (el usuario debe desactivar la Protección contra manipulaciones): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Toma una instantánea de la máquina virtual para poder revertir siempre a un estado anterior a la instalación de FLARE-VM
• NOTA para IDA Pro: Si vas a instalar IDA Pro mediante idapro.vm, debes colocar el instalador de IDA Pro (y opcionalmente, tu archivo de licencia) en el Escritorio antes de ejecutar el instalador de FLARE-VM.

Instalación de FLARE-VM

• Abre una ventana de PowerShell como administrador
• Descarga el script de instalación installer.ps1 en tu Escritorio:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Desbloquea el script de instalación:
  • Unblock-File .\install.ps1
• Habilita la ejecución de scripts:
  • Set-ExecutionPolicy Unrestricted -Force
    • Si recibes un error indicando que la directiva de ejecución está anulada por una directiva definida en un ámbito más específico, es posible que debas pasar un ámbito mediante Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Para ver las directivas de ejecución de todos los ámbitos, ejecuta Get-ExecutionPolicy -List
• Finalmente, ejecuta el script del instalador de la siguiente manera:
  • .\install.ps1
    • Para pasar tu contraseña como argumento: .\install.ps1 -password <contraseña>
    • Para usar el modo solo CLI con interacción mínima del usuario: .\install.ps1 -password <contraseña> -noWait -noGui
    • Para usar el modo solo CLI con interacción mínima del usuario y un archivo de configuración personalizado: .\install.ps1 -customConfig <config.xml> -password <contraseña> -noWait -noGui
• Después de la instalación, se recomienda cambiar al modo de red solo anfitrión y tomar una instantánea de la máquina virtual

Parámetros del instalador

A continuación se describen los parámetros de la CLI.

Obtén información de uso completa ejecutando Get-Help .\install.ps1 -Detailed.

Interfaz gráfica del instalador

La GUI del instalador se muestra después de ejecutar las comprobaciones de validación e instalar Boxstarter y Chocolatey (si aún no están instalados). Usando la GUI del instalador, puedes personalizar:

• Selección de paquetes de FLARE-VM y la comunidad de Chocolatey
• Rutas de variables de entorno

Configuración

El instalador descargará config.xml del repositorio de FLARE-VM. Este archivo contiene la configuración predeterminada, incluyendo la lista de paquetes a instalar y las rutas de las variables de entorno. Puedes usar tu propia configuración especificando el argumento de CLI -customConfig y proporcionando una ruta de archivo local o una URL a tu archivo config.xml. Por ejemplo:

Diseño de la barra de tareas

El instalador usará CustomStartLayout.xml del repositorio de FLARE-VM. Este archivo contiene el diseño predeterminado de la barra de tareas. Puedes usar tu propia configuración especificando el argumento de CLI -customLayout y proporcionando una ruta de archivo local o una URL a tu archivo CustomStartLayout.xml. Por ejemplo:

Cosas a considerar:

• Los elementos del .xml que no estén instalados no se mostrarán en la barra de tareas (no se fijarán enlaces rotos).
• Solo se pueden fijar aplicaciones (archivos .exe) o accesos directos a aplicaciones.
• Si deseas fijar algo que no sea una aplicación, considera crear un acceso directo que apunte a cmd.exe o powershell con argumentos proporcionados que realicen las acciones deseadas.
• Si deseas que algo se ejecute con derechos de administrador, considera crear un acceso directo usando VM-Install-Shortcut con el indicador -runAsAdmin y fijar el acceso directo.

Pasos posteriores a la instalación

Puedes incluir cualquier paso posterior a la instalación que desees en la configuración dentro de las etiquetas apps, services, path-items, registry-items y custom-items.

Por ejemplo:

• Para mostrar las extensiones de archivo conocidas:

Para más ejemplos, consulta el archivo de configuración predeterminado: config.xml.

Contribuciones

• Consulta nuestra GUÍA DE CONTRIBUCIÓN para aprender cómo contribuir al proyecto.

Solución de problemas

Si tu instalación falla, intenta identificar el motivo del error de instalación leyendo los archivos de registro que se enumeran a continuación en tu sistema:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

Asegúrate de estar ejecutando la versión más reciente del instalador de FLARE-VM y de que tu máquina virtual cumple los requisitos.

Error del instalador

Si la instalación falló debido a un problema en el script de instalación (por ejemplo, install.ps1), reporta el error en FLARE-VM. Proporciona toda la información solicitada para asegurarnos de que podemos ayudarte.

Nota: Rara vez install.ps1 es la causa de un fallo de instalación. Lo más probable es que sea un paquete o un conjunto de paquetes específicos los que están fallando (ver más abajo).

Error de paquete

Los paquetes fallan al instalarse de vez en cuando; esto es normal. Las razones más comunes se indican a continuación:

1. Error o tiempo de espera agotado de Chocolatey o MyGet al descargar un archivo .nupkg
2. Error o tiempo de espera agotado debido al host remoto al descargar una herramienta
3. Un sistema de detección de intrusiones (IDS) o un producto antivirus (por ejemplo, Windows Defender) impide la descarga de una herramienta o la elimina del sistema
4. Problema específico del host, por ejemplo al usar una versión no probada
5. La herramienta no se compila debido a dependencias
6. URL de herramienta antigua (por ejemplo, HTTP STATUS 404)
7. El hash SHA256 de la herramienta ha cambiado respecto al que está codificado en el script de instalación del paquete

Las razones 1-4 son difíciles de solucionar para nosotros, ya que no las controlamos. Si se reporta un problema relacionado con las razones 1-4, es poco probable que podamos ayudar.

Nosotros podemos ayudar con las razones 5-7 y también damos la bienvenida a la comunidad para que contribuya con correcciones. Por favor, reporta el error en VM-Packages proporcionando toda la información solicitada.

Actualizaciones

Ten en cuenta que las actualizaciones de paquetes se realizan en la medida de lo posible y no se prueban. Si encuentras errores, realiza una instalación limpia de FLARE-VM.

Lista de correo

¡Suscríbete a la lista de correo de FLARE para recibir anuncios de la comunidad! Envía un correo con "subscribe" a [email protected].

Aviso legal

Este script de descarga de configuración se proporciona para ayudar a los analistas de ciberseguridad a crear cajas de herramientas prácticas y versátiles para entornos de análisis de malware. Proporciona una interfaz conveniente para que obtengan un conjunto útil de herramientas de análisis directamente de sus fuentes originales. La instalación y el uso de este script están sujetos a la Licencia Apache 2.0. Como usuario de este script, debes revisar, aceptar y cumplir con los términos de licencia de cada paquete descargado/instalado. Al continuar con la instalación, estás aceptando los términos de licencia de cada paquete y reconociendo que el uso de cada paquete estará sujeto a sus respectivos términos de licencia.