FileInsight-plugins: McAfee FileInsight バイナリエディタのマルウェア解析用デコードツールボックス

FileInsight-plugins は McAfee FileInsight バイナリエディタ用のプラグイン集です。 暗号の復号、圧縮の展開、XOR された文字列の検索、YARA ルールでのスキャン、コードのエミュレーション、逆アセンブル等、多数の機能を追加できます。 マルウェア解析に関する様々なデコード作業に便利です。（例：文書ファイル型のマルウェアからマルウェアの実行ファイルやダミーの文書ファイルを抽出する）

FileInsight のインストーラをお探しの方は https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi からダウンロードできます。

• スクリーンショット
• 講演
• 使用例
• インストール方法
• 使い方
• アップデート方法
• カスタマイズ
• プラグインの一覧 (153個)

スクリーンショット

AES decrypt プラグインのダイアログ

YARA scan プラグインの実行結果

Parse file structure プラグインで ELF ファイルの構造をパースした結果

Emulate code プラグインで ARM64 の Linux 用のシェルコードをエミュレートした結果

Disassemble プラグインで x86 の Linux 用のシェルコードを逆アセンブルした結果

Bitmap view プラグインで Windows の実行ファイルを可視化した結果

Byte histogram プラグインで表示した Excel ファイル中の値の出現頻度のグラフ

Entropy graph プラグインで表示した Windows の実行ファイルのエントロピーのグラフ

講演

Black Hat USA 2021 Arsenal

• 概要 (Black Hat USA ウェブサイト)
• スライド
• デモ動画

CODE BLUE 2019 Bluebox

• 概要 (CODE BLUE ウェブサイト)
• スライド (英語)
• スライド (日本語)

使用例

• Use case 1: executable file embedded in Excel file
• Use case 2: executable file embedded in RTF file
• Use case 3: obfuscated PHP webshell
• Use case 4: YARA rule testing
• Use case 5: Code emulation

インストール方法

以下のコマンドを実行してください。最新のリリース版の FileInsight-plugins と FileInsight、Python 3.12.x (x64) を含む必要なものがインストールされます。

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

プロキシサーバを使用している場合は (例えば IPアドレス: 10.0.0.1 ポート番号: 8080) 以下のコマンドを実行してください。

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

手動でインストールが必要な Python モジュールが数個あります。プラグインが表示するインストール手順に従ってください。

使い方

Plugins タブにある "Operations" をクリックして、プラグインを選択してください。

右クリックのメニューからプラグインを使用することもできます。

いくつかのプラグインは使用時に設定のダイアログを表示します。

アップデート方法

FileInsight-plugins を最新のリリース版にアップデートしたい場合はプラグインのメニューの Check for update をクリックしてください。新しいバージョンがある場合はインストール用の PowerShell スクリプト(https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) が実行されます。既存のファイルは上書きされます。

以下のコマンドを実行してアップデートすることもできます(Check for update メニューはこのコマンドを実行しています)。

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"

HTTP プロキシをお使いの場合は install.ps1 をダウンロードして、ファイル中の $PROXY_HOST と $PROXY_PORT の変数を編集してから以下のコマンドを実行してください

powershell -exec bypass .\install.ps1 -update

FileInsight-plugins を最新のスナップショットに更新したい場合は "-snapshot" オプションを追加してください。

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update -snapshot"

カスタマイズ

Send to (CLI) プラグインと Send to (GUI) プラグインはファイルをあなたのお好みのプログラムで開くことができます。 Send to プラグインのメニューで Customize menu をクリックしてください。

"plugins\Operations\Misc\send_to_cli.json" (Send to (CLI) プラグイン) または"plugins\Operations\Misc\send_to.json" (Send to (GUI) プラグイン) がデフォルトのテキストエディタで開かれます。編集して保存してください。

カスタマイズした内容がメニューに反映されます。

プラグインの一覧 (155個)

Basic operations

• Copy to new file
  選択範囲を(選択していない場合は全体を)新しいファイルとして開きます。
• Switch file tabs
  ファイルのタブをリストボックスを使って切り替えます。
• Bookmark
  選択範囲を指定したコメントと色でブックマークします。
• Cut binary to clipboard
  選択範囲のバイナリデータをクリップボードに切り取ります(16進テキストとして)。
• Copy binary to clipboard
  選択範囲のバイナリデータをクリップボードにコピーします(16進テキストとして)。
• Paste binary from clipboard
  クリップボードからバイナリデータをペーストします(16進テキストから変換)。
• Delete before
  現在のカーソル位置より前を全て削除します。
• Delete after
  現在のカーソル位置より後を全て削除します。
• Fill
  選択範囲を指定した16進数のパターンで埋めます。
• Invert
  選択範囲のビットを反転します。
• Reverse order
  選択範囲のバイト列の順序を逆に並べ替えます。
• Change endianness
  選択範囲のエンディアンを変換します。
• Swap nibbles
  選択範囲内のニブルの組を入れ替えます。
• Swap two bytes
  選択範囲内のバイトの組を入れ替えます。
• To upper case
  選択範囲内の小文字を大文字にします。