FLARE-VM

Bienvenue sur FLARE-VM - une collection de scripts d'installation de logiciels pour systèmes Windows qui vous permet de configurer et de maintenir facilement un environnement de rétro-ingénierie sur une machine virtuelle (VM). FLARE-VM a été conçu pour résoudre le problème de la curation d'outils de rétro-ingénierie et repose sur deux technologies principales : Chocolatey et Boxstarter. Chocolatey est un système de gestion de paquets Nuget pour Windows, où un « paquet » est essentiellement un fichier ZIP contenant des scripts d'installation PowerShell qui téléchargent et configurent un outil spécifique. Boxstarter exploite les paquets Chocolatey pour automatiser l'installation de logiciels et créer des environnements Windows reproductibles et scriptés.

Prérequis

FLARE-VM NE DOIT ÊTRE installé QUE sur une machine virtuelle. La VM doit satisfaire les prérequis suivants :

• Windows ≥ 10
• PowerShell ≥ 5
• Capacité disque d'au moins 60 Go et mémoire d'au moins 2 Go
• Noms d'utilisateur sans espaces ni autres caractères spéciaux
• Connexion Internet
• Protection contre les falsifications et toute solution anti-malware (par exemple, Windows Defender) désactivées, de préférence via une stratégie de groupe
• Mises à jour Windows désactivées

Instructions d'installation

Cette section documente les étapes pour installer FLARE-VM. Vous pouvez également trouver utile la vidéo Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Pré-installation

• Préparez une machine virtuelle Windows 10+
  • Installez Windows dans la machine virtuelle, par exemple en utilisant l'ISO Windows 10 brut depuis https://www.microsoft.com/fr-fr/software-download/windows10ISO
  • Assurez-vous que les prérequis ci-dessus sont satisfaits, y compris :
    • Désactivez les mises à jour Windows (au moins jusqu'à ce que l'installation soit terminée)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Désactivez la Protection contre les falsifications et toute solution anti-malware (par exemple, Windows Defender), de préférence via une stratégie de groupe.
      • GPO : https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Non-GPO - Manuel : https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Non-GPO - Automatisé : https://github.com/ionuttbara/windows-defender-remover
      • Non-GPO - Semi-automatisé (l'utilisateur doit désactiver la Protection contre les falsifications) : https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Prenez un instantané de la VM afin de pouvoir toujours revenir à un état antérieur à l'installation de FLARE-VM
• NOTE pour IDA Pro : Si vous installez IDA Pro via idapro.vm, vous devez placer votre programme d'installation IDA Pro (et éventuellement votre fichier de licence) sur le Bureau avant d'exécuter le programme d'installation de FLARE-VM.

Installation de FLARE-VM

• Ouvrez une invite PowerShell en tant qu'administrateur
• Téléchargez le script d'installation installer.ps1 sur votre Bureau :
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Débloquez le script d'installation :
  • Unblock-File .\install.ps1
• Activez l'exécution des scripts :
  • Set-ExecutionPolicy Unrestricted -Force
    • Si vous recevez une erreur indiquant que la stratégie d'exécution est remplacée par une stratégie définie à une portée plus spécifique, vous devrez peut-être passer une portée via Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Pour afficher les stratégies d'exécution pour toutes les portées, exécutez Get-ExecutionPolicy -List
• Enfin, exécutez le script d'installation comme suit :
  • .\install.ps1
    • Pour passer votre mot de passe en argument :

Paramètres du programme d'installation

Vous trouverez ci-dessous les descriptions des paramètres CLI.

PARAMÈTRES
    -password <String>
        Mot de passe de l'utilisateur actuel pour permettre la résilience au redémarrage via Boxstarter. Le script demande le mot de passe s'il n'est pas fourni.

    -noPassword [<SwitchParameter>]
        Paramètre d'option indiquant qu'un mot de passe n'est pas nécessaire pour les redémarrages.

    -customConfig <String>
        Chemin vers un fichier de configuration XML. Peut être un chemin de fichier ou une URL.

    -customLayout <String>
        Chemin vers un fichier XML de disposition de la barre des tâches. Peut être un chemin de fichier ou une URL.

    -noWait [<SwitchParameter>]
        Paramètre d'option pour ignorer le message d'installation avant le début de l'installation.

    -noGui [<SwitchParameter>]
        Paramètre d'option pour ignorer l'interface graphique de personnalisation.

    -noReboots [<SwitchParameter>]
        Paramètre d'option pour empêcher les redémarrages (non recommandé).

    -noChecks [<SwitchParameter>]
        Paramètre d'option pour ignorer les vérifications de validation (non recommandé).

Obtenez des informations d'utilisation complètes en exécutant Get-Help .\install.ps1 -Detailed.

Interface graphique du programme d'installation

L'interface graphique du programme d'installation s'affiche après l'exécution des vérifications de validation et l'installation de Boxstarter et Chocolatey (s'ils ne sont pas déjà installés). En utilisant l'interface graphique du programme d'installation, vous pouvez personnaliser :

• La sélection des paquets de FLARE-VM et de la communauté Chocolatey
• Les chemins des variables d'environnement

Configuration

Le programme d'installation téléchargera config.xml depuis le dépôt FLARE-VM. Ce fichier contient la configuration par défaut, y compris la liste des paquets à installer et les chemins des variables d'environnement. Vous pouvez utiliser votre propre configuration en spécifiant l'argument CLI -customConfig et en fournissant un chemin de fichier local ou une URL vers votre fichier config.xml. Par exemple :

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Disposition de la barre des tâches

Le programme d'installation utilisera CustomStartLayout.xml depuis le dépôt FLARE-VM. Ce fichier contient la disposition par défaut de la barre des tâches. Vous pouvez utiliser votre propre configuration en spécifiant l'argument CLI -customLayout et en fournissant un chemin de fichier local ou une URL vers votre fichier CustomStartLayout.xml. Par exemple :

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

Points à considérer :

• Les éléments du .xml qui ne sont pas installés ne s'afficheront pas dans la barre des tâches (aucun lien brisé ne sera épinglé)
• Seules les applications (fichiers .exe) ou les raccourcis vers des applications peuvent être épinglés.
• Si vous souhaitez épingler quelque chose qui n'est pas une application, envisagez de créer un raccourci qui pointe vers cmd.exe ou powershell avec des arguments fournis pour effectuer les actions souhaitées.
• Si vous souhaitez exécuter quelque chose avec des droits d'administrateur, envisagez de créer un raccourci à l'aide de VM-Install-Shortcut avec le drapeau -runAsAdmin et d'épingler le raccourci.

Étapes post-installation

Vous pouvez inclure toute étape post-installation de votre choix dans la configuration à l'intérieur des balises apps, services, path-items, registry-items et custom-items.

Par exemple :

• Pour afficher les extensions de fichiers connues :

    <registry-items>
        <registry-item name="Afficher les extensions de fichiers connues" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

Pour plus d'exemples, consultez le fichier de configuration par défaut : config.xml.

Contribuer

• Consultez notre guide CONTRIBUTING pour apprendre comment contribuer au projet.

Dépannage

Si votre installation échoue, veuillez tenter d'identifier la raison de l'erreur d'installation en lisant les fichiers journaux listés ci-dessous sur votre système :

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

Assurez-vous d'exécuter la dernière version du programme d'installation de FLARE-VM et que votre VM satisfait les prérequis.

Erreur du programme d'installation

Si l'installation a échoué en raison d'un problème dans le script d'installation (par exemple, install.ps1), signalez le bogue dans FLARE-VM. Fournissez toutes les informations demandées pour nous permettre de vous aider.

Remarque : Il est rare que install.ps1 soit la cause d'un échec d'installation. Il s'agit très probablement d'un paquet ou d'un ensemble de paquets spécifiques qui échouent (voir ci-dessous).

Erreur de paquet

Il arrive que des paquets ne s'installent pas – c'est normal. Les raisons les plus courantes sont décrites ci-dessous :

1. Échec ou délai d'attente de Chocolatey ou MyGet pour télécharger un fichier .nupkg
2. Échec ou délai d'attente dû à un hôte distant lors du téléchargement d'un outil
3. Un système de détection d'intrusion (IDS) ou un produit antivirus (par exemple, Windows Defender) empêche le téléchargement d'un outil ou le supprime du système
4. Problème spécifique à l'hôte, par exemple lors de l'utilisation d'une version non testée
5. L'outil ne parvient pas à se construire en raison de dépendances
6. Ancienne URL de l'outil (par exemple, HTTP STATUS 404)
7. Le hash SHA256 de l'outil a changé par rapport à ce qui est codé en dur dans le script d'installation du paquet

Les raisons 1-4 sont difficiles à corriger pour nous car nous ne les contrôlons pas. Si un problème lié aux raisons 1-4 est signalé, il est peu probable que nous puissions vous aider.

Nous pouvons aider pour les raisons 5-7 et nous accueillons également la communauté pour contribuer avec des correctifs ! Veuillez signaler le bogue dans VM-Packages en fournissant toutes les informations demandées.

Mises à jour

Notez que les mises à jour des paquets sont faites au mieux et ne sont pas testées. Si vous rencontrez des erreurs, effectuez une nouvelle installation de FLARE-VM.

Liste de diffusion

Abonnez-vous à la liste de diffusion FLARE pour les annonces de la communauté ! Envoyez un e-mail avec « subscribe » à [email protected].

Avis juridique

Ce script de configuration de téléchargement est fourni pour aider les analystes en cybersécurité à créer des boîtes à outils pratiques et polyvalentes pour les environnements d'analyse de logiciels malveillants. Il offre une interface pratique pour obtenir un ensemble utile d'outils d'analyse directement à partir de leurs sources d'origine. L'installation et l'utilisation de ce script sont soumises à la licence Apache 2.0. Vous, en tant qu'utilisateur de ce script, devez examiner, accepter et respecter les conditions de licence de chaque paquet téléchargé/installé. En poursuivant l'installation, vous acceptez les conditions de licence de chaque paquet et reconnaissez que votre utilisation de chaque paquet sera soumise à ses propres conditions de licence.