FLARE-VM

Bienvenue sur FLARE-VM - une collection de scripts d'installation de logiciels pour systèmes Windows qui vous permet de configurer et de maintenir facilement un environnement de rétro-ingénierie sur une machine virtuelle (VM). FLARE-VM a été conçu pour résoudre le problème de la curation d'outils de rétro-ingénierie et repose sur deux technologies principales : Chocolatey et Boxstarter. Chocolatey est un système de gestion de paquets Nuget pour Windows, où un « paquet » est essentiellement un fichier ZIP contenant des scripts d'installation PowerShell qui téléchargent et configurent un outil spécifique. Boxstarter exploite les paquets Chocolatey pour automatiser l'installation de logiciels et créer des environnements Windows reproductibles et scriptés.

Prérequis

FLARE-VM NE DOIT ÊTRE installé QUE sur une machine virtuelle. La VM doit satisfaire les prérequis suivants :

• Windows ≥ 10
• PowerShell ≥ 5
• Capacité disque d'au moins 60 Go et mémoire d'au moins 2 Go
• Noms d'utilisateur sans espaces ni autres caractères spéciaux
• Connexion Internet
• Protection contre les falsifications et toute solution anti-malware (par exemple, Windows Defender) désactivées, de préférence via une stratégie de groupe
• Mises à jour Windows désactivées

Instructions d'installation

Cette section documente les étapes pour installer FLARE-VM. Vous pouvez également trouver utile la vidéo Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Pré-installation

• Préparez une machine virtuelle Windows 10+
  • Installez Windows dans la machine virtuelle, par exemple en utilisant l'ISO Windows 10 brut depuis https://www.microsoft.com/fr-fr/software-download/windows10ISO
  • Assurez-vous que les prérequis ci-dessus sont satisfaits, y compris :
    • Désactivez les mises à jour Windows (au moins jusqu'à ce que l'installation soit terminée)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Désactivez la Protection contre les falsifications et toute solution anti-malware (par exemple, Windows Defender), de préférence via une stratégie de groupe.
      • GPO : https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Non-GPO - Manuel : https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Non-GPO - Automatisé : https://github.com/ionuttbara/windows-defender-remover
      • Non-GPO - Semi-automatisé (l'utilisateur doit désactiver la Protection contre les falsifications) : https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Prenez un instantané de la VM afin de pouvoir toujours revenir à un état antérieur à l'installation de FLARE-VM
• NOTE pour IDA Pro : Si vous installez IDA Pro via idapro.vm, vous devez placer votre programme d'installation IDA Pro (et éventuellement votre fichier de licence) sur le Bureau avant d'exécuter le programme d'installation de FLARE-VM.

Installation de FLARE-VM

• Ouvrez une invite PowerShell en tant qu'administrateur
• Téléchargez le script d'installation installer.ps1 sur votre Bureau :
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Débloquez le script d'installation :
  • Unblock-File .\install.ps1
• Activez l'exécution des scripts :
  • Set-ExecutionPolicy Unrestricted -Force
    • Si vous recevez une erreur indiquant que la stratégie d'exécution est remplacée par une stratégie définie à une portée plus spécifique, vous devrez peut-être passer une portée via Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Pour afficher les stratégies d'exécution pour toutes les portées, exécutez Get-ExecutionPolicy -List
• Enfin, exécutez le script d'installation comme suit :
  • .\install.ps1
    • Pour passer votre mot de passe en argument : .\install.ps1 -password <motdepasse>
    • Pour utiliser le mode CLI uniquement avec une interaction minimale de l'utilisateur : .\install.ps1 -password <motdepasse> -noWait -noGui
    • Pour utiliser le mode CLI uniquement avec une interaction minimale de l'utilisateur et un fichier de configuration personnalisé : .\install.ps1 -customConfig <config.xml> -password <motdepasse> -noWait -noGui
• Après l'installation, il est recommandé de passer en mode réseau hôte uniquement et de prendre un instantané de la VM

Paramètres du programme d'installation

Vous trouverez ci-dessous les descriptions des paramètres CLI.

PARAMÈTRES
    -password <String>
        Mot de passe de l'utilisateur actuel pour permettre la résilience au redémarrage via Boxstarter. Le script demande le mot de passe s'il n'est pas fourni.

    -noPassword [<SwitchParameter>]
        Paramètre d'option indiquant qu'un mot de passe n'est pas nécessaire pour les redémarrages.

    -customConfig <String>
        Chemin vers un fichier de configuration XML. Peut être un chemin de fichier ou une URL.

    -customLayout <String>
        Chemin vers un fichier XML de disposition de la barre des tâches. Peut être un chemin de fichier ou une URL.

    -noWait [<SwitchParameter>]
        Paramètre d'option pour ignorer le message d'installation avant le début de l'installation.

    -noGui [<SwitchParameter>]
        Paramètre d'option pour ignorer l'interface graphique de personnalisation.

    -noReboots [<SwitchParameter>]
        Paramètre d'option pour empêcher les redémarrages (non recommandé).

    -noChecks [<SwitchParameter>]
        Paramètre d'option pour ignorer les vérifications de validation (non recommandé).

Obtenez des informations d'utilisation complètes en exécutant Get-Help .\install.ps1 -Detailed.

Interface graphique du programme d'installation

L'interface graphique du programme d'installation s'affiche après l'exécution des vérifications de validation et l'installation de Boxstarter et Chocolatey (s'ils ne sont pas déjà installés). En utilisant l'interface graphique du programme d'installation, vous pouvez personnaliser :

• La sélection des paquets de FLARE-VM et de la communauté Chocolatey
• Les chemins des variables d'environnement

Configuration

Le programme d'installation téléchargera config.xml depuis le dépôt FLARE-VM. Ce fichier contient la configuration par défaut, y compris la liste des paquets à installer et les chemins des variables d'environnement. Vous pouvez utiliser votre propre configuration en spécifiant l'argument CLI -customConfig et en fournissant un chemin de fichier local ou une URL vers votre fichier config.xml. Par exemple :

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"