FLARE-VM

FLARE-VM へようこそ。これは Windows システム向けのソフトウェアインストールスクリプト集で、仮想マシン (VM) 上にリバースエンジニアリング環境を簡単にセットアップ・保守できるようにするものです。FLARE-VM は、リバースエンジニアリングツールのキュレーション問題を解決するために設計されており、2つの主要なテクノロジーに依存しています: Chocolatey と Boxstarter。Chocolatey は Windows ベースの Nuget パッケージ管理システムで、「パッケージ」とは基本的に、特定のツールをダウンロードして構成する PowerShell インストールスクリプトを含む ZIP ファイルです。Boxstarter は Chocolatey パッケージを活用してソフトウェアのインストールを自動化し、再現可能でスクリプト化された Windows 環境を作成します。

要件

FLARE-VM は仮想マシンにのみインストールする必要があります。 VM は以下の要件を満たしている必要があります:

• Windows ≥ 10
• PowerShell ≥ 5
• ディスク容量 60 GB 以上、メモリ 2 GB 以上
• スペースやその他の特殊文字を含まないユーザー名
• インターネット接続
• 改ざん防止機能と任意のアンチマルウェアソリューション (例: Windows Defender) を無効にしておくこと。できればグループポリシーで無効にする
• Windows 更新プログラムを無効にする

インストール手順

このセクションでは、FLARE-VM をインストールする手順を説明します。また、Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM ビデオ も参考になります。

インストール前

• Windows 10 以降の仮想マシンを準備する
  • 仮想マシンに Windows をインストールします（例: https://www.microsoft.com/ja-jp/software-download/windows10ISO から raw Windows 10 ISO を使用）
  • 上記の要件 を満たしていることを確認します。以下の項目を含みます:
    • Windows 更新プログラムを無効にする (少なくともインストールが完了するまで)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • 改ざん防止機能と任意のアンチマルウェアソリューション (例: Windows Defender) を無効にする。できればグループポリシーで無効にします。
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • GPO 以外 - 手動: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • GPO 以外 - 自動化: https://github.com/ionuttbara/windows-defender-remover
      • GPO 以外 - 半自動化 (ユーザーが改ざん防止をオフにする必要あり): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• VM スナップショットを取得して、FLARE-VM インストール前の状態にいつでも戻せるようにする
• IDA Pro に関する注意: idapro.vm 経由で IDA Pro をインストールする場合は、FLARE-VM インストーラーを実行する前に IDA Pro インストーラ (およびオプションでライセンスファイル) をデスクトップに配置する必要があります。

FLARE-VM のインストール

• 管理者として PowerShell プロンプトを開く
• インストールスクリプト installer.ps1 をデスクトップにダウンロードする:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• インストールスクリプトのブロックを解除する:
  • Unblock-File .\install.ps1
• スクリプトの実行を有効にする:
  • Set-ExecutionPolicy Unrestricted -Force
    • 実行ポリシーがより具体的なスコープで定義されたポリシーによって上書きされているというエラーが表示される場合は、Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force のようにスコープを指定する必要があるかもしれません。すべてのスコープの実行ポリシーを表示するには、Get-ExecutionPolicy -List を実行します。
• 最後に、次のようにインストーラスクリプトを実行します:
  • .\install.ps1
    • パスワードを引数として渡す場合: .\install.ps1 -password <password>

インストーラパラメータ

以下は CLI パラメータの説明です。

PARAMETERS
    -password <String>
        現在のユーザーパスワード。Boxstarter による再起動耐性を可能にします。指定されていない場合、スクリプトはパスワードを要求します。

    -noPassword [<SwitchParameter>]
        再起動にパスワードが不要であることを示すスイッチパラメータ。

    -customConfig <String>
        設定 XML ファイルへのパス。ファイルパスまたは URL を使用できます。

    -customLayout <String>
        タスクバーレイアウト XML ファイルへのパス。ファイルパスまたは URL を使用できます。

    -noWait [<SwitchParameter>]
        インストール開始前のメッセージ表示をスキップするスイッチパラメータ。

    -noGui [<SwitchParameter>]
        カスタマイズ GUI をスキップするスイッチパラメータ。

    -noReboots [<SwitchParameter>]
        再起動を防ぐスイッチパラメータ (推奨しません)。

    -noChecks [<SwitchParameter>]
        検証チェックをスキップするスイッチパラメータ (推奨しません)。

完全な使用情報を取得するには、Get-Help .\install.ps1 -Detailed を実行します。

インストーラ GUI

インストーラ GUI は、検証チェックの実行後、Boxstarter と Chocolatey (まだインストールされていない場合) をインストールした後に表示されます。 インストーラ GUI を使用すると、以下をカスタマイズできます:

• FLARE-VM および Chocolatey コミュニティからのパッケージ選択
• 環境変数パス

設定

インストーラは、FLARE-VM リポジトリから config.xml をダウンロードします。このファイルには、インストールするパッケージのリストや環境変数パスなどのデフォルト設定が含まれています。CLI 引数 -customConfig を指定し、config.xml ファイルへのローカルファイルパスまたは URL を指定することで、独自の設定を使用できます。例:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

タスクバーレイアウト

インストーラは、FLARE-VM リポジトリから CustomStartLayout.xml を使用します。このファイルにはデフォルトのタスクバーレイアウトが含まれています。CLI 引数 -customLayout を指定し、CustomStartLayout.xml ファイルへのローカルファイルパスまたは URL を指定することで、独自の設定を使用できます。例:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

考慮すべき点:

• .xml 内のアイテムがインストールされていない場合、タスクバーには表示されません (壊れたリンクはピン留めされません)。
• ピン留めできるのはアプリケーション (exe ファイル) またはアプリケーションへのショートカットのみです。
• アプリケーションではないものをピン留めしたい場合は、cmd.exe または powershell を指すショートカットを作成し、実行したいアクションを実行する引数を指定することを検討してください。
• 管理者権限で実行するものを作成したい場合は、VM-Install-Shortcut を -runAsAdmin フラグ付きで使用してショートカットを作成し、そのショートカットをピン留めすることを検討してください。

インストール後の手順

設定内の apps、services、path-items、registry-items、custom-items タグに任意のインストール後の手順を含めることができます。

例:

• 既知のファイル拡張子を表示する:

    <registry-items>
        <registry-item name="既知のファイル拡張子を表示する" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

その他の例については、デフォルト設定ファイル config.xml を確認してください。

コントリビューション

• プロジェクトへのコントリビューション方法については、CONTRIBUTING ガイド を確認してください。

トラブルシューティング

インストールが失敗した場合は、お使いのシステムで以下のログファイルを読み、インストールエラーの原因を特定してください:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

最新バージョンの FLARE-VM インストーラーを実行していること、および VM が 要件 を満たしていることを確認してください。

インストーラエラー

インストールスクリプト (例: install.ps1) の問題が原因でインストールが失敗した場合は、FLARE-VM にバグを報告 してください。 ご対応にあたり必要な情報をすべてご提供ください。

注: install.ps1 がインストール失敗の原因であることは稀です。ほとんどの場合、特定のパッケージまたはパッケージセットが失敗しています (下記参照)。

パッケージエラー

パッケージのインストールは時々失敗します — これは正常です。最も一般的な理由は以下のとおりです:

1. Chocolatey または MyGet からの .nupkg ファイルのダウンロードの失敗またはタイムアウト
2. リモートホストからのツールダウンロードの失敗またはタイムアウト
3. 侵入検知システム (IDS) または AV 製品 (例: Windows Defender) によるツールのダウンロードの妨害、またはシステムからのツールの削除
4. テストされていないバージョンを使用するなど、ホスト固有の問題
5. 依存関係が原因でツールのビルドが失敗する
6. 古いツール URL (例: HTTP STATUS 404)
7. パッケージインストールスクリプトにハードコードされている SHA256 ハッシュとツールのハッシュが異なる

理由 1-4 は私たちが制御できないため、修正は困難です。理由 1-4 に関連する問題が報告された場合、支援できる可能性は低いです。

理由 5-7 については支援が可能であり、コミュニティによる修正の貢献も歓迎します！ VM-Packages にバグを報告 し、要求されたすべての情報を提供してください。

更新

パッケージの更新はベストエフォート方式であり、更新はテストされていないことに注意してください。 エラーが発生した場合は、新しい FLARE-VM インストールを実行してください。

メーリングリスト

コミュニティアナウンスについては、FLARE メーリングリストに登録してください！「subscribe」という件名で [email protected] にメールを送信してください。

法的注意事項

このダウンロード設定スクリプトは、サイバーセキュリティ分析者がマルウェア分析環境向けの便利で多用途なツールボックスを作成できるようにするために提供されています。分析者が直接オリジナルソースから便利な分析ツールのセットを入手するための便利なインターフェースを提供します。このスクリプトのインストールと使用は、Apache 2.0 ライセンスの条件に従います。このスクリプトのユーザーは、ダウンロード/インストールされる各パッケージのライセンス条項を確認、同意、遵守する必要があります。インストールを進めることにより、各パッケージのライセンス条項に同意し、各パッケージの使用はそれぞれのライセンス条項に従うことを確認したことになります。