FileInsight-plugins: cassetta degli attrezzi di decodifica dell'editor esadecimale McAfee FileInsight per l'analisi malware

FileInsight-plugins è un vasto insieme di plugin per l'editor esadecimale McAfee FileInsight. Aggiunge molte funzionalità come decifratura, decompressione, ricerca di stringhe di testo XORate, scansione con una regola YARA, emulazione di codice, disassemblaggio e altro ancora! È utile per vari tipi di attività di decodifica nell'analisi malware (ad esempio estrarre eseguibili malware e documenti esca da file di documenti dannosi).

Per chi cerca l'installer di FileInishgt, è disponibile su https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi.

Screenshots
Presentazioni
Casi d'uso
Come installare
Come usare
Come aggiornare
Personalizzazione
Elenco dei plugin (153 plugin)

Screenshots

Dialogo del plugin "AES decrypt"

Risultato della scansione del plugin "YARA scan"

Struttura dati del file eseguibile ELF analizzato dal plugin "Parse file structure"

Traccia di emulazione di shellcode ARM64 Linux emulato dal plugin "Emulate code"

Output di disassemblaggio di shellcode x86 Linux disassemblato dal plugin "Disassemble"

Rappresentazione bitmap del file eseguibile Windows visualizzato dal plugin "Bitmap view"

Istogramma dei byte del file Excel mostrato dal plugin "Byte histogram"

Grafico di entropia del file eseguibile Windows mostrato dal plugin "Entropy graph"

Presentazioni

Black Hat USA 2021 Arsenal

CODE BLUE 2019 Bluebox

Casi d'uso

Come installare

Eseguire il seguente comando. Verranno installate l'ultima versione rilasciata di FileInsight-plugins e i prerequisiti, inclusi FileInsight e Python 3.12.x (x64).

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

Se si utilizza un server proxy (ad esempio, indirizzo IP: 10.0.0.1, porta: 8080), eseguire i seguenti comandi.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

Ci sono alcuni moduli Python che richiedono installazione manuale. Seguire le istruzioni di installazione visualizzate dai plugin.

Come usare

Fare clic su "Operations" nella scheda "Plugins" quindi selezionare un plugin.

È anche possibile utilizzare i plugin dal menu contestuale.

Alcuni plugin mostrano una finestra di dialogo aggiuntiva per le impostazioni al momento dell'uso.

Come aggiornare

Se si desidera aggiornare FileInsight-plugins all'ultima versione rilasciata, fare clic su "Check for update" nel menu dei plugin. Lo script PowerShell di installazione (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) verrà eseguito se è disponibile una nuova versione. I file esistenti verranno sovrascritti.

È anche possibile aggiornare con il seguente comando ("Check for update" esegue questo comando).

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"