FileInsight-plugins : boîte à outils de décodage de l'éditeur hexadécimal McAfee FileInsight pour l'analyse de logiciels malveillants

FileInsight-plugins est un vaste ensemble de plugins pour l'éditeur hexadécimal McAfee FileInsight. Il ajoute de nombreuses fonctionnalités telles que le déchiffrement, la décompression, la recherche de chaînes de texte XORées, l'analyse avec une règle YARA, l'émulation de code, le désassemblage, et bien plus encore ! Il est utile pour diverses tâches de décodage dans l'analyse de logiciels malveillants (par exemple, extraire des exécutables malveillants et des documents leurres de fichiers de documents malveillants).

Pour ceux qui cherchent l'installateur FileInishgt, il est disponible à https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi.

Captures d'écran
Présentations
Cas d'utilisation
Comment installer
Comment utiliser
Comment mettre à jour
Personnalisation
Liste des plugins (153 plugins)

Captures d'écran

Dialogue du plugin "AES decrypt"

Résultat d'analyse du plugin "YARA scan"

Structure de données du fichier exécutable ELF analysée par le plugin "Parse file structure"

Trace d'émulation du shellcode ARM64 Linux émulé par le plugin "Emulate code"

Sortie de désassemblage du shellcode x86 Linux désassemblé par le plugin "Disassemble"

Représentation bitmap du fichier exécutable Windows visualisée par le plugin "Bitmap view"

Histogramme d'octets du fichier Excel affiché par le plugin "Byte histogram"

Graphique d'entropie du fichier exécutable Windows affiché par le plugin "Entropy graph"

Présentations

Black Hat USA 2021 Arsenal

CODE BLUE 2019 Bluebox

Cas d'utilisation

Comment installer

Veuillez exécuter la commande suivante. La dernière version de FileInsight-plugins et les prérequis, y compris FileInsight et Python 3.12.x (x64), seront installés.

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

Si vous utilisez un serveur proxy (par exemple, adresse IP : 10.0.0.1, port : 8080), veuillez exécuter les commandes suivantes.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

Quelques modules Python nécessitent une installation manuelle. Veuillez suivre les instructions d'installation affichées par les plugins.

Comment utiliser

Veuillez cliquer sur "Operations" dans l'onglet "Plugins", puis sélectionnez un plugin.

Vous pouvez également utiliser les plugins depuis le menu contextuel (clic droit).

Certains plugins affichent une boîte de dialogue supplémentaire pour les paramètres du plugin au moment de l'utilisation.

Comment mettre à jour

Si vous souhaitez mettre à jour FileInsight-plugins vers la dernière version publiée, veuillez cliquer sur "Check for update" dans le menu des plugins. Le script PowerShell d'installation (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) sera exécuté si une nouvelle version est disponible. Les fichiers existants seront remplacés.

Vous pouvez également mettre à jour avec la commande suivante ("Check for update" exécute cette commande).

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"