FLARE-VM

Benvenuti in FLARE-VM - una raccolta di script di installazione software per sistemi Windows che consente di configurare e gestire facilmente un ambiente di reverse engineering su una macchina virtuale (VM). FLARE-VM è stato progettato per risolvere il problema della curatela degli strumenti di reverse engineering e si basa su due tecnologie principali: Chocolatey e Boxstarter. Chocolatey è un sistema di gestione dei pacchetti Nuget basato su Windows, dove un "pacchetto" è essenzialmente un file ZIP contenente script di installazione PowerShell che scaricano e configurano uno strumento specifico. Boxstarter sfrutta i pacchetti Chocolatey per automatizzare l'installazione del software e creare ambienti Windows ripetibili e scriptati.

Requisiti

FLARE-VM deve essere installato SOLO su una macchina virtuale. La VM deve soddisfare i seguenti requisiti:

• Windows ≥ 10
• PowerShell ≥ 5
• Capacità del disco di almeno 60 GB e memoria di almeno 2 GB
• Nomi utente senza spazi o altri caratteri speciali
• Connessione a Internet
• Protezione da manomissioni e qualsiasi soluzione antimalware (es. Windows Defender) disabilitata, preferibilmente tramite Criteri di gruppo
• Aggiornamenti Windows disabilitati

Istruzioni per l'installazione

Questa sezione documenta i passaggi per installare FLARE-VM. Potresti trovare utile anche il video Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Pre-installazione

• Preparare una macchina virtuale Windows 10+
  • Installare Windows nella macchina virtuale, ad esempio utilizzando l'ISO grezzo di Windows 10 da https://www.microsoft.com/en-us/software-download/windows10ISO
  • Assicurarsi che i requisiti sopra siano soddisfatti, inclusi:
    • Disabilitare gli aggiornamenti Windows (almeno fino al termine dell'installazione)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Disabilitare la protezione da manomissioni e qualsiasi soluzione antimalware (es. Windows Defender), preferibilmente tramite Criteri di gruppo.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Non-GPO - Manuale: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Non-GPO - Automatico: https://github.com/ionuttbara/windows-defender-remover
      • Non-GPO - Semi-automatico (l'utente deve disattivare la protezione da manomissioni): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Fare uno snapshot della VM per poter sempre tornare a uno stato precedente all'installazione di FLARE-VM
• NOTA per IDA Pro: Se si installa IDA Pro tramite idapro.vm, è necessario posizionare il programma di installazione di IDA Pro (e opzionalmente il file di licenza) sul Desktop prima di eseguire il programma di installazione di FLARE-VM.

Installazione di FLARE-VM

• Aprire un prompt di PowerShell come amministratore
• Scaricare lo script di installazione installer.ps1 sul Desktop:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Sbloccare lo script di installazione:
  • Unblock-File .\install.ps1
• Abilitare l'esecuzione degli script:
  • Set-ExecutionPolicy Unrestricted -Force
    • Se si riceve un errore che indica che i criteri di esecuzione sono stati sovrascritti da un criterio definito in un ambito più specifico, potrebbe essere necessario passare un ambito tramite Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Per visualizzare i criteri di esecuzione per tutti gli ambiti, eseguire Get-ExecutionPolicy -List
• Infine, eseguire lo script di installazione come segue:
  • .\install.ps1
    • Per passare la password come argomento: .\install.ps1 -password <password>
    • Per utilizzare la modalità solo CLI con interazione minima dell'utente: .\install.ps1 -password <password> -noWait -noGui
    • Per utilizzare la modalità solo CLI con interazione minima dell'utente e un file di configurazione personalizzato: .\install.ps1 -customConfig <config.xml> -password <password> -noWait -noGui
• Dopo l'installazione si consiglia di passare alla modalità di rete host-only e fare uno snapshot della VM

Parametri del programma di installazione

Di seguito le descrizioni dei parametri CLI.

PARAMETERS
    -password <String>
        Current user password to allow reboot resiliency via Boxstarter. The script prompts for the password if not provided.

    -noPassword [<SwitchParameter>]
        Switch parameter indicating a password is not needed for reboots.

    -customConfig <String>
        Path to a configuration XML file. May be a file path or URL.

    -customLayout <String>
        Path to a taskbar layout XML file. May be a file path or URL.

    -noWait [<SwitchParameter>]
        Switch parameter to skip installation message before installation begins.

    -noGui [<SwitchParameter>]
        Switch parameter to skip customization GUI.

    -noReboots [<SwitchParameter>]
        Switch parameter to prevent reboots (not recommended).

    -noChecks [<SwitchParameter>]
        Switch parameter to skip validation checks (not recommended).

Ottieni informazioni complete sull'utilizzo eseguendo Get-Help .\install.ps1 -Detailed.

GUI del programma di installazione

La GUI del programma di installazione viene visualizzata dopo aver eseguito i controlli di validazione e aver installato Boxstarter e Chocolatey (se non sono già installati). Utilizzando la GUI del programma di installazione è possibile personalizzare:

• Selezione dei pacchetti da FLARE-VM e dalla community di Chocolatey
• Percorsi delle variabili d'ambiente

Configurazione

Il programma di installazione scaricherà config.xml dal repository FLARE-VM. Questo file contiene la configurazione predefinita, inclusa la lista dei pacchetti da installare e i percorsi delle variabili d'ambiente. È possibile utilizzare una propria configurazione specificando l'argomento CLI -customConfig e fornendo un percorso file locale o un URL al file config.xml. Ad esempio:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Layout della barra delle applicazioni

Il programma di installazione utilizzerà CustomStartLayout.xml dal repository FLARE-VM. Questo file contiene il layout predefinito della barra delle applicazioni. È possibile utilizzare una propria configurazione specificando l'argomento CLI -customLayout e fornendo un percorso file locale o un URL al file CustomStartLayout.xml. Ad esempio:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"