FileInsight-plugins: conjunto de herramientas de descodificación del editor hexadecimal FileInsight de McAfee para el análisis de malware

FileInsight-plugins es un amplio conjunto de plugins para el editor hexadecimal FileInsight de McAfee. Añade muchas capacidades como descifrado, descompresión, búsqueda de cadenas de texto XOR, escaneo con una regla YARA, emulación de código, desensamblado, ¡y más! Es útil para varios tipos de tareas de descodificación en el análisis de malware (por ejemplo, extraer ejecutables maliciosos y documentos señuelo de archivos de documento maliciosos).

Para aquellos que buscan el instalador de FileInishgt, está disponible en https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi.

• Capturas de pantalla
• Presentaciones
• Casos de uso
• Cómo instalar
• Cómo usar
• Cómo actualizar
• Personalización
• Lista de plugins (153 plugins)

Capturas de pantalla

Diálogo del plugin "AES decrypt"

Resultado de escaneo del plugin "YARA scan"

Estructura de datos del archivo ejecutable ELF analizado por el plugin "Parse file structure"

Traza de emulación del shellcode ARM64 Linux emulado por el plugin "Emulate code"

Salida de desensamblado del shellcode x86 Linux desensamblado por el plugin "Disassemble"

Representación en mapa de bits del archivo ejecutable Windows visualizado por el plugin "Bitmap view"

Histograma de bytes del archivo Excel mostrado por el plugin "Byte histogram"

Gráfico de entropía del archivo ejecutable Windows mostrado por el plugin "Entropy graph"

Presentaciones

Black Hat USA 2021 Arsenal

• Resumen en el sitio web de Black Hat USA
• Presentación de diapositivas
• Vídeo de demostración

CODE BLUE 2019 Bluebox

• Resumen en el sitio web de CODE BLUE
• Presentación de diapositivas (inglés)
• Presentación de diapositivas (japonés)

Casos de uso

• Caso de uso 1: archivo ejecutable incrustado en archivo Excel
• Caso de uso 2: archivo ejecutable incrustado en archivo RTF
• Caso de uso 3: webshell PHP ofuscado
• Caso de uso 4: prueba de reglas YARA
• Caso de uso 5: emulación de código

Cómo instalar

Ejecute el siguiente comando. Se instalarán la última versión publicada de FileInsight-plugins y los requisitos previos, incluyendo FileInsight y Python 3.12.x (x64).

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

Si utiliza un servidor proxy (por ejemplo, dirección IP: 10.0.0.1, puerto: 8080), ejecute los siguientes comandos.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

Hay algunos módulos de Python que requieren instalación manual. Siga las instrucciones de instalación mostradas por los plugins.

Cómo usar

Haga clic en "Operations" en la pestaña "Plugins" y luego seleccione un plugin.

También puede usar los plugins desde el menú contextual.

Algunos plugins muestran un diálogo adicional para la configuración del plugin en el momento de su uso.

Cómo actualizar

Si desea actualizar FileInsight-plugins a la última versión publicada, haga clic en "Check for update" del menú de plugins. Se ejecutará el script de instalación de PowerShell (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) si hay una nueva versión disponible. Los archivos existentes serán sobrescritos.

También puede actualizar con el siguiente comando ("Check for update" ejecuta este comando).

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"

Si utiliza un servidor proxy (por ejemplo, dirección IP: 10.0.0.1, puerto: 8080), ejecute los siguientes comandos.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1 -update

Si desea actualizar FileInsight-plugins a la última instantánea, añada la opción "-snapshot".

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update -snapshot"