FLARE-VM

Benvenuti in FLARE-VM - una raccolta di script di installazione software per sistemi Windows che consente di configurare e gestire facilmente un ambiente di reverse engineering su una macchina virtuale (VM). FLARE-VM è stato progettato per risolvere il problema della curatela degli strumenti di reverse engineering e si basa su due tecnologie principali: Chocolatey e Boxstarter. Chocolatey è un sistema di gestione dei pacchetti Nuget basato su Windows, dove un "pacchetto" è essenzialmente un file ZIP contenente script di installazione PowerShell che scaricano e configurano uno strumento specifico. Boxstarter sfrutta i pacchetti Chocolatey per automatizzare l'installazione del software e creare ambienti Windows ripetibili e scriptati.

Requisiti

FLARE-VM deve essere installato SOLO su una macchina virtuale. La VM deve soddisfare i seguenti requisiti:

• Windows ≥ 10
• PowerShell ≥ 5
• Capacità del disco di almeno 60 GB e memoria di almeno 2 GB
• Nomi utente senza spazi o altri caratteri speciali
• Connessione a Internet
• Protezione da manomissioni e qualsiasi soluzione antimalware (es. Windows Defender) disabilitata, preferibilmente tramite Criteri di gruppo
• Aggiornamenti Windows disabilitati

Istruzioni per l'installazione

Questa sezione documenta i passaggi per installare FLARE-VM. Potresti trovare utile anche il video Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Pre-installazione

• Preparare una macchina virtuale Windows 10+
  • Installare Windows nella macchina virtuale, ad esempio utilizzando l'ISO grezzo di Windows 10 da https://www.microsoft.com/en-us/software-download/windows10ISO
  • Assicurarsi che i requisiti sopra siano soddisfatti, inclusi:
    • Disabilitare gli aggiornamenti Windows (almeno fino al termine dell'installazione)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Disabilitare la protezione da manomissioni e qualsiasi soluzione antimalware (es. Windows Defender), preferibilmente tramite Criteri di gruppo.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Non-GPO - Manuale: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Non-GPO - Automatico: https://github.com/ionuttbara/windows-defender-remover
      • Non-GPO - Semi-automatico (l'utente deve disattivare la protezione da manomissioni): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Fare uno snapshot della VM per poter sempre tornare a uno stato precedente all'installazione di FLARE-VM
• NOTA per IDA Pro: Se si installa IDA Pro tramite idapro.vm, è necessario posizionare il programma di installazione di IDA Pro (e opzionalmente il file di licenza) sul Desktop prima di eseguire il programma di installazione di FLARE-VM.

Installazione di FLARE-VM

• Aprire un prompt di PowerShell come amministratore
• Scaricare lo script di installazione installer.ps1 sul Desktop:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Sbloccare lo script di installazione:
  • Unblock-File .\install.ps1
• Abilitare l'esecuzione degli script:
  • Set-ExecutionPolicy Unrestricted -Force
    • Se si riceve un errore che indica che i criteri di esecuzione sono stati sovrascritti da un criterio definito in un ambito più specifico, potrebbe essere necessario passare un ambito tramite Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Per visualizzare i criteri di esecuzione per tutti gli ambiti, eseguire Get-ExecutionPolicy -List
• Infine, eseguire lo script di installazione come segue:
  • .\install.ps1
    • Per passare la password come argomento:

Parametri del programma di installazione

Di seguito le descrizioni dei parametri CLI.

PARAMETERS
    -password <String>
        Current user password to allow reboot resiliency via Boxstarter. The script prompts for the password if not provided.

    -noPassword [<SwitchParameter>]
        Switch parameter indicating a password is not needed for reboots.

    -customConfig <String>
        Path to a configuration XML file. May be a file path or URL.

    -customLayout <String>
        Path to a taskbar layout XML file. May be a file path or URL.

    -noWait [<SwitchParameter>]
        Switch parameter to skip installation message before installation begins.

    -noGui [<SwitchParameter>]
        Switch parameter to skip customization GUI.

    -noReboots [<SwitchParameter>]
        Switch parameter to prevent reboots (not recommended).

    -noChecks [<SwitchParameter>]
        Switch parameter to skip validation checks (not recommended).

Ottieni informazioni complete sull'utilizzo eseguendo Get-Help .\install.ps1 -Detailed.

GUI del programma di installazione

La GUI del programma di installazione viene visualizzata dopo aver eseguito i controlli di validazione e aver installato Boxstarter e Chocolatey (se non sono già installati). Utilizzando la GUI del programma di installazione è possibile personalizzare:

• Selezione dei pacchetti da FLARE-VM e dalla community di Chocolatey
• Percorsi delle variabili d'ambiente

Configurazione

Il programma di installazione scaricherà config.xml dal repository FLARE-VM. Questo file contiene la configurazione predefinita, inclusa la lista dei pacchetti da installare e i percorsi delle variabili d'ambiente. È possibile utilizzare una propria configurazione specificando l'argomento CLI -customConfig e fornendo un percorso file locale o un URL al file config.xml. Ad esempio:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Layout della barra delle applicazioni

Il programma di installazione utilizzerà CustomStartLayout.xml dal repository FLARE-VM. Questo file contiene il layout predefinito della barra delle applicazioni. È possibile utilizzare una propria configurazione specificando l'argomento CLI -customLayout e fornendo un percorso file locale o un URL al file CustomStartLayout.xml. Ad esempio:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

Aspetti da considerare:

• Gli elementi nel .xml che non sono installati non verranno visualizzati nella barra delle applicazioni (nessun collegamento interrotto verrà fissato)
• Solo le applicazioni (file .exe) o i collegamenti alle applicazioni possono essere fissati.
• Se si desidera fissare qualcosa che non è un'applicazione, considerare la creazione di un collegamento che punti a cmd.exe o powershell con argomenti forniti che eseguiranno le azioni desiderate.
• Se si desidera che qualcosa venga eseguito con diritti di amministratore, considerare la creazione di un collegamento utilizzando VM-Install-Shortcut con il flag -runAsAdmin e fissare il collegamento.

Passaggi post-installazione

È possibile includere qualsiasi passaggio post-installazione desiderato nella configurazione all'interno dei tag apps, services, path-items, registry-items e custom-items.

Ad esempio:

• Per mostrare le estensioni dei file conosciute:

    <registry-items>
        <registry-item name="Show known file extensions" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

Per ulteriori esempi, consultare il file di configurazione predefinito: config.xml.

Contribuire

• Consulta la nostra guida CONTRIBUTING per imparare come contribuire al progetto.

Risoluzione dei problemi

Se l'installazione fallisce, prova a identificare il motivo dell'errore di installazione leggendo i file di log elencati di seguito sul tuo sistema:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

Assicurati di eseguire l'ultima versione del programma di installazione di FLARE-VM e che la VM soddisfi i requisiti.

Errore del programma di installazione

Se l'installazione è fallita a causa di un problema nello script di installazione (ad esempio install.ps1), segnala il bug in FLARE-VM. Fornisci tutte le informazioni richieste per assicurarci di poterti aiutare.

Nota: Raramente install.ps1 è la causa di un fallimento dell'installazione. Molto probabilmente si tratta di un pacchetto specifico o di un insieme di pacchetti che stanno fallendo (vedi sotto).

Errore del pacchetto

I pacchetti a volte non si installano -- è normale. I motivi più comuni sono elencati di seguito:

1. Fallimento o timeout da Chocolatey o MyGet per scaricare un file .nupkg
2. Fallimento o timeout a causa dell'host remoto durante il download di uno strumento
3. Un sistema di rilevamento delle intrusioni (IDS) o un prodotto antivirus (es. Windows Defender) impedisce il download di uno strumento o lo rimuove dal sistema
4. Problema specifico dell'host, ad esempio quando si utilizza una versione non testata
5. Lo strumento non riesce a compilare a causa delle dipendenze
6. URL dello strumento obsoleto (es. HTTP STATUS 404)
7. L'hash SHA256 dello strumento è cambiato rispetto a quello hardcoded nello script di installazione del pacchetto

Le ragioni 1-4 sono difficili da risolvere per noi poiché non le controlliamo. Se viene segnalato un problema relativo ai motivi 1-4, è improbabile che possiamo aiutare.

Possiamo aiutare con i motivi 5-7 e incoraggiamo la community a contribuire con le correzioni! Si prega di segnalare il bug in VM-Packages fornendo tutte le informazioni richieste.

Aggiornamenti

Nota che gli aggiornamenti dei pacchetti sono a titolo di cortesia e non vengono testati. Se incontri errori, esegui una nuova installazione di FLARE-VM.

Mailing List

Iscriviti alla mailing list FLARE per gli annunci della community! Invia un'email con oggetto "subscribe" a [email protected].

Avviso legale

Questo script di configurazione per il download è fornito per assistere gli analisti di sicurezza informatica nella creazione di toolbox pratici e versatili per ambienti di analisi malware. Fornisce un'interfaccia comoda per ottenere un utile set di strumenti di analisi direttamente dalle loro fonti originali. L'installazione e l'uso di questo script sono soggetti alla licenza Apache 2.0. Tu, come utente di questo script, devi rivedere, accettare e rispettare i termini di licenza di ciascun pacchetto scaricato/installato. Procedendo con l'installazione, accetti i termini di licenza di ciascun pacchetto e riconosci che il tuo utilizzo di ciascun pacchetto sarà soggetto ai rispettivi termini di licenza.