FileInsight-plugins

FileInsight-plugins: caja de herramientas de decodificación del editor hexadecimal McAfee FileInsight para análisis de malware

Diálogo del plugin "AES decrypt"

Resultado de escaneo del plugin "YARA scan"

Estructura de datos del archivo ejecutable ELF analizado por el plugin "Parse file structure"

Traza de emulación del shellcode ARM64 Linux emulado por el plugin "Emulate code"

Salida de desensamblado del shellcode x86 Linux desensamblado por el plugin "Disassemble"

Representación en mapa de bits del archivo ejecutable Windows visualizado por el plugin "Bitmap view"

Histograma de bytes del archivo Excel mostrado por el plugin "Byte histogram"

Gráfico de entropía del archivo ejecutable Windows mostrado por el plugin "Entropy graph"

Presentaciones

Black Hat USA 2021 Arsenal

• Resumen en el sitio web de Black Hat USA
• Presentación de diapositivas
• Vídeo de demostración

CODE BLUE 2019 Bluebox

• Resumen en el sitio web de CODE BLUE
• Presentación de diapositivas (inglés)
• Presentación de diapositivas (japonés)

Casos de uso

• Caso de uso 1: archivo ejecutable incrustado en archivo Excel
• Caso de uso 2: archivo ejecutable incrustado en archivo RTF
• Caso de uso 3: webshell PHP ofuscado
• Caso de uso 4: prueba de reglas YARA
• Caso de uso 5: emulación de código

Cómo instalar

Ejecute el siguiente comando. Se instalarán la última versión publicada de FileInsight-plugins y los requisitos previos, incluyendo FileInsight y Python 3.12.x (x64).

Si utiliza un servidor proxy (por ejemplo, dirección IP: 10.0.0.1, puerto: 8080), ejecute los siguientes comandos.

Hay algunos módulos de Python que requieren instalación manual. Siga las instrucciones de instalación mostradas por los plugins.

Cómo usar

Haga clic en "Operations" en la pestaña "Plugins" y luego seleccione un plugin.

También puede usar los plugins desde el menú contextual.

Algunos plugins muestran un diálogo adicional para la configuración del plugin en el momento de su uso.

Cómo actualizar

Si desea actualizar FileInsight-plugins a la última versión publicada, haga clic en "Check for update" del menú de plugins. Se ejecutará el script de instalación de PowerShell (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) si hay una nueva versión disponible. Los archivos existentes serán sobrescritos.

También puede actualizar con el siguiente comando ("Check for update" ejecuta este comando).

Si utiliza un servidor proxy (por ejemplo, dirección IP: 10.0.0.1, puerto: 8080), ejecute los siguientes comandos.

Si desea actualizar FileInsight-plugins a la última instantánea, añada la opción "-snapshot".

Personalización

Para los plugins "Send to (CLI)" y "Send to (GUI)", puede abrir archivos con sus programas favoritos. Haga clic en "Customize menu" del menú de plugins.

Se abrirá "plugins\Operations\Misc\send_to_cli.json" (para el plugin "Send to (CLI)") o "plugins\Operations\Misc\send_to.json" (para el plugin "Send to (GUI)") con su editor de texto predeterminado. Edítelo y guárdelo.

Su personalización se reflejará en los elementos del menú.

Lista de plugins (155 plugins)

Operaciones básicas

• Copiar a nuevo archivo
  Copiar la región seleccionada (todo el archivo si no hay selección) a un nuevo archivo
• Cambiar pestañas de archivo
  Cambiar pestañas de archivo con un cuadro de lista
• Marcador
  Marcar la región seleccionada con un comentario y color especificados
• Cortar binario al portapapeles
  Cortar datos binarios de la región seleccionada al portapapeles como texto codificado en hexadecimal
• Copiar binario al portapapeles
  Copiar datos binarios de la región seleccionada al portapapeles como texto codificado en hexadecimal
• Pegar binario desde el portapapeles
  Pegar datos binarios (convertidos desde texto codificado en hexadecimal) desde el portapapeles
• Eliminar antes
  Eliminar toda la región antes de la posición actual del cursor
• Eliminar después
  Eliminar toda la región después de la posición actual del cursor
• Rellenar
  Rellenar la región seleccionada con un patrón hexadecimal especificado
• Invertir
  Invertir los bits de la región seleccionada
• Invertir orden
  Invertir el orden de la región seleccionada
• Cambiar endianness
  Cambiar el endianness de la región seleccionada
• Intercambiar nibbles
  Intercambiar cada par de nibbles de la región seleccionada
• Intercambiar dos bytes
  Intercambiar cada par de bytes de la región seleccionada
• A mayúsculas
  Convertir texto a mayúsculas en la región seleccionada
• A minúsculas
  Convertir texto a minúsculas en la región seleccionada
• Cambiar mayúsculas/minúsculas
  Cambiar mayúsculas/minúsculas en la región seleccionada

Operaciones de compresión

Comprimir

• aPLib
  Comprimir la región seleccionada con la biblioteca de compresión aPLib
• Brotli
  Comprimir la región seleccionada con el algoritmo Brotli
• Bzip2
  Comprimir la región seleccionada con el algoritmo bzip2
• Gzip
  Comprimir la región seleccionada con formato gzip
• LZ4
  Comprimir la región seleccionada con el algoritmo LZ4
• LZF
  Comprimir la región seleccionada con el algoritmo LZF
• LZFSE
  Comprimir la región seleccionada con el algoritmo LZFSE
• lzip
  Comprimir la región seleccionada con formato lzip
• LZJB
  Comprimir la región seleccionada con el algoritmo LZJB
• LZMA
  Comprimir la región seleccionada con el algoritmo LZMA
• LZNT1
  Comprimir la región seleccionada con el algoritmo LZNT1
• LZO
  Comprimir la región seleccionada con el algoritmo LZO
• LZRW1/KH
  Comprimir la región seleccionada con el algoritmo LZRW1/KH
• PPMd
  Comprimir la región seleccionada con el algoritmo PPMd
• QuickLZ
  Comprimir la región seleccionada con la biblioteca de compresión QuickLZ
• Raw deflate
  Comprimir la región seleccionada con el algoritmo Deflate sin cabecera ni suma de verificación (equivalente a gzdeflate() en PHP)
• Snappy
  Comprimir la región seleccionada con la biblioteca de compresión Snappy
• XZ
  Comprimir la región seleccionada con formato XZ
• zlib (deflate)
  Comprimir la región seleccionada con zlib (algoritmo Deflate)
• Zstandard
  Comprimir la región seleccionada con el algoritmo Zstandard

Descomprimir

• aPLib
  Descomprimir la región seleccionada con la biblioteca de compresión aPLib
• Brotli
  Descomprimir la región seleccionada con el algoritmo Brotli
• Bzip2
  Descomprimir la región seleccionada con el algoritmo bzip2
• Gzip
  Descomprimir la región seleccionada comprimida con gzip
• LZ4
  Descomprimir la región seleccionada con el algoritmo LZ4
• LZF
  Descomprimir la región seleccionada con el algoritmo LZF
• LZFSE
  Descomprimir la región seleccionada con el algoritmo LZFSE
• lzip
  Descomprimir la región seleccionada comprimida con lzip
• LZJB
  Descomprimir la región seleccionada con el algoritmo LZJB
• LZMA
  Descomprimir la región seleccionada con el algoritmo LZMA
• LZNT1
  Descomprimir la región seleccionada con el algoritmo LZNT1
• LZO
  Descomprimir la región seleccionada con el algoritmo LZO
• LZRW1/KH
  Descomprimir la región seleccionada con el algoritmo LZRW1/KH
• PPMd
  Descomprimir la región seleccionada con el algoritmo PPMd
• QuickLZ
  Descomprimir la región seleccionada con la biblioteca de compresión QuickLZ
• Raw inflate
  Descomprimir la región seleccionada comprimida con Deflate que no tiene cabecera ni suma de verificación (equivalente a gzinflate() en PHP)
• Snappy
  Descomprimir la región seleccionada con la biblioteca de compresión Snappy
• XZ
  Descomprimir la región seleccionada comprimida con XZ
• zlib (inflate)
  Descomprimir la región seleccionada con zlib (algoritmo Deflate)
• Zstandard
  Descomprimir la región seleccionada con el algoritmo Zstandard

Operaciones criptográficas

Descifrar

• AES
  Descifrar la región seleccionada con AES
• Blowfish
  Descifrar la región seleccionada con Blowfish
• CAST-128
  Descifrar la región seleccionada con CAST-128
• Camellia
  Descifrar la región seleccionada con Camellia
• ChaCha20
  Descifrar la región seleccionada con ChaCha20
• DES
  Descifrar la región seleccionada con DES
• RC2
  Descifrar la región seleccionada con RC2
• RC4
  Descifrar la región seleccionada con RC4
• RC5
  Descifrar la región seleccionada con RC5
• RC6
  Descifrar la región seleccionada con RC6
• Salsa20
  Descifrar la región seleccionada con Salsa20
• TEA
  Descifrar la región seleccionada con TEA (Tiny Encryption Algorithm)
• Triple DES
  Descifrar la región seleccionada con Triple DES
• XTEA
  Descifrar la región seleccionada con XTEA (eXtended Tiny Encryption Algorithm)
• XXTEA
  Descifrar la región seleccionada con XXTEA (Corrected Block Tiny Encryption Algorithm)

Cifrar

• AES
  Cifrar la región seleccionada con AES
• Blowfish
  Cifrar la región seleccionada con Blowfish
• CAST-128
  Cifrar la región seleccionada con CAST-128
• Camellia
  Cifrar la región seleccionada con Camellia
• ChaCha20
  Cifrar la región seleccionada con ChaCha20
• DES
  Cifrar la región seleccionada con DES
• RC2
  Cifrar la región seleccionada con RC2
• RC4
  Cifrar la región seleccionada con RC4
• RC5
  Cifrar la región seleccionada con RC5
• RC6
  Cifrar la región seleccionada con RC6
• Salsa20
  Cifrar la región seleccionada con Salsa20
• TEA
  Cifrar la región seleccionada con TEA (Tiny Encryption Algorithm)
• Triple DES
  Cifrar la región seleccionada con Triple DES
• XTEA
  Cifrar la región seleccionada con XTEA (eXtended Tiny Encryption Algorithm)
• XXTEA
  Cifrar la región seleccionada con XXTEA (Corrected Block Tiny Encryption Algorithm)

Operaciones de codificación

Decodificar

• Texto hexadecimal a datos binarios
  Convertir el texto hexadecimal de la región seleccionada a binario
• Texto decimal a datos binarios
  Convertir el texto decimal de la región seleccionada a datos binarios
• Texto octal a datos binarios
  Convertir el texto octal de la región seleccionada a datos binarios
• Texto binario a datos binarios
  Convertir el texto binario de la región seleccionada a datos binarios
• Decodificación base16 personalizada
  Decodificar la región seleccionada con una tabla base16 personalizada
• Decodificación base32 personalizada
  Decodificar la región seleccionada con una tabla base32 personalizada
• Decodificación base58 personalizada
  Decodificar la región seleccionada con una tabla base58 personalizada
• Decodificación base62 personalizada
  Decodificar la región seleccionada con una tabla base62 personalizada
• Decodificación base64 personalizada
  Decodificar la región seleccionada con una tabla base64 personalizada
• Decodificación base85 personalizada
  Decodificar la región seleccionada con una tabla base85 personalizada
• Decodificación base91 personalizada
  Decodificar la región seleccionada con una tabla base91 personalizada
• Decodificación base92 personalizada
  Decodificar la región seleccionada con una tabla base92 personalizada
• Decodificar gob
  Decodificar la región seleccionada como datos serializados gob (formato de serialización para golang) en notación Python
• Decodificar MessagePack
  Decodificar la región seleccionada como datos serializados MessagePack a JSON
• Decodificar Protobuf
  Decodificar la región seleccionada como datos serializados Protocol Buffers a JSON sin archivos .proto
• De quoted-printable
  Decodificar la región seleccionada como texto quoted-printable
• Desescapar Unicode
  Desescapar la secuencia de escape Unicode de la región seleccionada
• Decodificar URL
  Decodificar la región seleccionada como texto codificado en porcentaje usado por URL

Codificar

• Datos binarios a texto hexadecimal
  Convertir los datos binarios de la región seleccionada a texto hexadecimal
• Datos binarios a texto decimal
  Convertir los datos binarios de la región seleccionada a texto decimal
• Datos binarios a texto octal
  Convertir los datos binarios de la región seleccionada a texto octal
• Datos binarios a texto binario
  Convertir los datos binarios de la región seleccionada a texto binario
• Codificación base16 personalizada
  Codificar la región seleccionada con una tabla base16 personalizada
• Codificación base32 personalizada
  Codificar la región seleccionada con una tabla base32 personalizada
• Codificación base58 personalizada
  Codificar la región seleccionada con una tabla base58 personalizada
• Codificación base62 personalizada
  Codificar la región seleccionada con una tabla base62 personalizada
• Codificación base64 personalizada
  Codificar la región seleccionada con una tabla base64 personalizada
• Codificación base85 personalizada
  Codificar la región seleccionada con una tabla base85 personalizada
• Codificación base91 personalizada
  Codificar la región seleccionada con una tabla base91 personalizada
• Codificación base92 personalizada
  Codificar la región seleccionada con una tabla base92 personalizada
• Codificar MessagePack
  Codificar el JSON de la región seleccionada en datos serializados MessagePack
• ROT13
  Rotar los caracteres alfabéticos en la región seleccionada por la cantidad especificada (por defecto: 13)
• A quoted-printable
  Codificar la región seleccionada en texto quoted-printable
• Escapar Unicode
  Escapar los caracteres Unicode de la región seleccionada
• Codificar URL
  Codificar la región seleccionada en texto codificado en porcentaje usado por URL

Operaciones varias

• Emular código
  Emular la región seleccionada como un ejecutable o shellcode (todo el archivo si no hay selección)
• Comparación de archivos
  Comparar el contenido de dos archivos
• Valores hash
  Calcular los valores CRC32, MD5, SHA1, SHA256, ssdeep, TLSH, imphash, impfuzzy, exphash, hash de cabecera Rich PE, authentihash, icon MD5, icon dhash, gimphash y telfhash de la región seleccionada (todo el archivo si no hay selección)
• Enviar a (CLI)
  Enviar la región seleccionada (todo el archivo si no hay selección) a otro programa CLI y obtener la salida
• Enviar a (GUI)
  Enviar la región seleccionada (todo el archivo si no hay selección) a otro programa GUI

Operaciones de análisis

• Escaneo Binwalk
  Escanear la región seleccionada (todo el archivo si no hay selección) para encontrar archivos incrustados
• Desensamblar
  Desensamblar la región seleccionada (todo el archivo si no hay selección)
• Extraer macro VBA
  Extraer la macro VBA de Microsoft Office de la región seleccionada (todo el archivo si no hay selección)
• Tipo de archivo
  Identificar el tipo de archivo de la región seleccionada (todo el archivo si no hay selección)
• Buscar archivo PE
  Buscar un archivo PE en la región seleccionada (todo el archivo si no hay selección) basándose en la información de la cabecera PE
• Analizar estructura de archivo
  Analizar la estructura de archivo de la región seleccionada (todo el archivo si no hay selección) con Kaitai Struct
  Formatos de archivo compatibles: Gzip, RAR, ZIP, ELF, Mach-O, PE, tabla de particiones MBR, BMP, GIF, JPEG, PNG, acceso directo de Windows
• Mostrar metadatos
  Mostrar metadatos de la región seleccionada (todo el archivo si no hay selección) con ExifTool
• Cadenas
  Extraer cadenas de texto de la región seleccionada (todo el archivo si no hay selección)
• Tipo de cadena
  Identificar el tipo de cadenas como claves API y direcciones de billeteras de criptomonedas en la región seleccionada (todo el archivo si no hay selección) con lemmeknow

Operaciones de búsqueda

• Extracción con regex
  Buscar con expresión regular en la región seleccionada (todo el archivo si no hay selección) y extraer las regiones coincidentes como una sola región concatenada
• Búsqueda con regex
  Buscar con expresión regular en la región seleccionada (todo el archivo si no hay selección) y marcar las regiones coincidentes
• Reemplazar
  Buscar con expresión regular en la región seleccionada (todo el archivo si no hay selección) y reemplazar las regiones coincidentes con datos especificados
• Búsqueda XOR hexadecimal
  Buscar datos XOR / rotados por bit en la región seleccionada (todo el archivo si no hay selección)
• Búsqueda XOR de texto
  Buscar cadena XOR / rotada por bit en la región seleccionada (todo el archivo si no hay selección)
• Escaneo YARA
  Escanear la región seleccionada (todo el archivo si no hay selección) con YARA.

Operaciones de visualización

• Vista de mapa de bits
  Visualizar todo el archivo como una representación de mapa de bits
• Histograma de bytes
  Mostrar histograma de bytes de la región seleccionada (todo el archivo si no hay selección)
• Gráfico de entropía
  Mostrar gráfico de entropía de la región seleccionada (todo el archivo si no hay selección)

Operaciones XOR

• XOR simple
  Aplicar XOR a la región seleccionada con una clave XOR especificada
• XOR decremental
  Aplicar XOR a la región seleccionada mientras se decrementa la clave XOR
• XOR incremental
  Aplicar XOR a la región seleccionada mientras se incrementa la clave XOR
• XOR preservando nulos
  Aplicar XOR a la región seleccionada omitiendo bytes nulos y la propia clave XOR
• XOR con otro archivo
  Aplicar XOR a la región seleccionada con el contenido de otro archivo como clave XOR
• XOR con el siguiente byte
  Aplicar XOR a la región seleccionada usando el siguiente byte como clave XOR
• XOR con el siguiente byte (inverso)
  Operación inversa del plugin "XOR con el siguiente byte"
• Adivinar claves XOR multibyte
  Adivinar claves XOR multibyte de la región seleccionada (todo el archivo si no hay selección) basándose en claves reveladas que están XOR con 0x00
• Cifrado visual
  Codificar la región seleccionada con el algoritmo de cifrado visual utilizado por el troyano Zeus
• Descifrado visual
  Decodificar la región seleccionada con el algoritmo de descifrado visual utilizado por el troyano Zeus

Autor

Nobutaka Mantani (X: @nmantani)

Licencia

La Licencia BSD 2-Cláusulas (http://opensource.org/licenses/bsd-license.php)