FLARE-VM

FLARE-VM에 오신 것을 환영합니다. 이는 Windows 시스템용 소프트웨어 설치 스크립트 모음으로, 가상 머신(VM)에서 리버스 엔지니어링 환경을 쉽게 설정하고 유지 관리할 수 있게 해줍니다. FLARE-VM은 리버스 엔지니어링 도구 큐레이션 문제를 해결하기 위해 설계되었으며, 두 가지 주요 기술인 Chocolatey와 Boxstarter에 의존합니다. Chocolatey는 Windows 기반 Nuget 패키지 관리 시스템으로, "패키지"는 기본적으로 특정 도구를 다운로드하고 구성하는 PowerShell 설치 스크립트가 포함된 ZIP 파일입니다. Boxstarter는 Chocolatey 패키지를 활용하여 소프트웨어 설치를 자동화하고 반복 가능한 스크립팅된 Windows 환경을 만듭니다.

요구 사항

FLARE-VM은 가상 머신에만 설치해야 합니다. VM은 다음 요구 사항을 충족해야 합니다.

• Windows ≥ 10
• PowerShell ≥ 5
• 최소 60GB의 디스크 용량과 최소 2GB의 메모리
• 공백이나 특수 문자가 없는 사용자 이름
• 인터넷 연결
• 무결성 보호(변조 보호) 및 Windows Defender 등 모든 맬웨어 방지 솔루션 비활성화(가급적 그룹 정책 사용)
• Windows 업데이트 비활성화

설치 지침

이 섹션에서는 FLARE-VM을 설치하는 단계를 설명합니다. 리버스 엔지니어링 및 맬웨어 분석을 위한 VM 구축! FLARE-VM 설치 동영상도 유용하게 활용할 수 있습니다.

사전 설치

• Windows 10+ 가상 머신 준비
  • 예를 들어 https://www.microsoft.com/en-us/software-download/windows10ISO에서 일반 Windows 10 ISO를 사용하여 가상 머신에 Windows를 설치합니다.
  • 위의 요구 사항이 충족되는지 확인합니다. 포함 사항:
    • Windows 업데이트 비활성화(최소한 설치가 완료될 때까지)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • 무결성 보호(변조 보호) 및 Windows Defender 등 모든 맬웨어 방지 솔루션을 비활성화합니다(가급적 그룹 정책 사용).
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • GPO 미사용 - 수동: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • GPO 미사용 - 자동: https://github.com/ionuttbara/windows-defender-remover
      • GPO 미사용 - 반자동 (사용자가 무결성 보호를 꺼야 함): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• VM 스냅샷을 생성하여 FLARE-VM 설치 이전 상태로 항상 되돌릴 수 있도록 합니다.
• IDA Pro 참고 사항: idapro.vm을 통해 IDA Pro를 설치하는 경우, FLARE-VM 설치 프로그램을 실행하기 전에 IDA Pro 설치 프로그램(선택적으로 라이선스 파일)을 데스크탑에 배치해야 합니다.

FLARE-VM 설치

• 관리자 권한으로 PowerShell 프롬프트를 엽니다.
• 설치 스크립트 installer.ps1을 데스크탑에 다운로드합니다.
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• 설치 스크립트 차단을 해제합니다.
  • Unblock-File .\install.ps1
• 스크립트 실행을 활성화합니다.
  • Set-ExecutionPolicy Unrestricted -Force
    • 실행 정책이 더 구체적인 범위의 정책에 의해 재정의되었다는 오류가 발생하면 Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force를 통해 범위를 전달해야 할 수도 있습니다. 모든 범위의 실행 정책을 보려면 Get-ExecutionPolicy -List를 실행하세요.
• 마지막으로, 다음과 같이 설치 스크립트를 실행합니다.
  • .\install.ps1
    • 비밀번호를 인수로 전달하려면: .\install.ps1 -password <password>
    • 최소한의 사용자 상호 작용으로 CLI 전용 모드를 사용하려면:

설치 프로그램 매개변수

아래는 CLI 매개변수 설명입니다.

PARAMETERS
    -password <String>
        Current user password to allow reboot resiliency via Boxstarter. The script prompts for the password if not provided.

    -noPassword [<SwitchParameter>]
        Switch parameter indicating a password is not needed for reboots.

    -customConfig <String>
        Path to a configuration XML file. May be a file path or URL.

    -customLayout <String>
        Path to a taskbar layout XML file. May be a file path or URL.

    -noWait [<SwitchParameter>]
        Switch parameter to skip installation message before installation begins.

    -noGui [<SwitchParameter>]
        Switch parameter to skip customization GUI.

    -noReboots [<SwitchParameter>]
        Switch parameter to prevent reboots (not recommended).

    -noChecks [<SwitchParameter>]
        Switch parameter to skip validation checks (not recommended).

전체 사용법 정보를 보려면 Get-Help .\install.ps1 -Detailed를 실행하세요.

설치 프로그램 GUI

설치 프로그램 GUI는 유효성 검사 검사를 실행하고 Boxstarter 및 Chocolatey(아직 설치되지 않은 경우)를 설치한 후에 표시됩니다. 설치 프로그램 GUI를 사용하여 다음을 사용자 지정할 수 있습니다.

• FLARE-VM 및 Chocolatey 커뮤니티의 패키지 선택
• 환경 변수 경로

구성

설치 프로그램은 FLARE-VM 리포지토리에서 config.xml을 다운로드합니다. 이 파일에는 설치할 패키지 목록 및 환경 변수 경로를 포함한 기본 구성이 포함되어 있습니다. CLI 인수 -customConfig를 지정하고 로컬 파일 경로 또는 config.xml 파일의 URL을 제공하여 자신만의 구성을 사용할 수 있습니다. 예:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

작업 표시줄 레이아웃

설치 프로그램은 FLARE-VM 리포지토리에서 CustomStartLayout.xml을 사용합니다. 이 파일에는 기본 작업 표시줄 레이아웃이 포함되어 있습니다. CLI 인수 -customLayout을 지정하고 로컬 파일 경로 또는 CustomStartLayout.xml 파일의 URL을 제공하여 자신만의 구성을 사용할 수 있습니다. 예:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

고려 사항:

• .xml에 있는 항목 중 설치되지 않은 항목은 작업 표시줄에 표시되지 않습니다(끊어진 링크가 고정되지 않음).
• 응용 프로그램(.exe 파일) 또는 응용 프로그램 바로 가기만 고정할 수 있습니다.
• 응용 프로그램이 아닌 항목을 고정하려면 원하는 작업을 수행하는 인수와 함께 cmd.exe 또는 powershell을 가리키는 바로 가기를 만든 후 고정하는 것을 고려하세요.
• 관리자 권한으로 실행해야 하는 항목을 만들려면 VM-Install-Shortcut을 -runAsAdmin 플래그와 함께 사용하여 바로 가기를 만든 후 바로 가기를 고정하는 것을 고려하세요.

설치 후 단계

apps, services, path-items, registry-items 및 custom-items 태그 내의 구성에 원하는 설치 후 단계를 포함할 수 있습니다.

예:

• 알려진 파일 확장명 표시:

    <registry-items>
        <registry-item name="Show known file extensions" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

더 많은 예제는 기본 구성 파일인 config.xml을 확인하세요.

기여하기

• 프로젝트에 기여하는 방법을 알아보려면 CONTRIBUTING 가이드를 확인하세요.

문제 해결

설치에 실패한 경우, 시스템에서 아래에 나열된 로그 파일을 읽어 설치 오류의 원인을 파악해 보십시오.

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

최신 버전의 FLARE-VM 설치 프로그램을 사용 중이고 VM이 요구 사항을 충족하는지 확인하세요.

설치 프로그램 오류

설치 스크립트(예: install.ps1)의 문제로 인해 설치가 실패한 경우, FLARE-VM에 버그를 보고하세요. 도움을 드릴 수 있도록 요청된 모든 정보를 제공해 주십시오.

참고: install.ps1이 설치 실패의 원인인 경우는 드뭅니다. 대부분 특정 패키지 또는 패키지 집합이 실패하는 경우입니다(아래 참조).

패키지 오류

패키지 설치가 가끔 실패하는 것은 정상입니다. 가장 일반적인 이유는 아래와 같습니다.

1. .nupkg 파일을 다운로드할 때 Chocolatey 또는 MyGet에서 실패 또는 시간 초과
2. 도구를 다운로드할 때 원격 호스트로 인한 실패 또는 시간 초과
3. 침입 탐지 시스템(IDS) 또는 안티바이러스 제품(예: Windows Defender)이 도구 다운로드를 차단하거나 시스템에서 제거
4. 테스트되지 않은 버전을 사용하는 등 호스트 특정 문제
5. 도구가 종속성으로 인해 빌드 실패
6. 오래된 도구 URL(예: HTTP STATUS 404)
7. 패키지 설치 스크립트에 하드코딩된 도구의 SHA256 해시 변경

이유 1-4는 당사에서 제어할 수 없으므로 수정하기 어렵습니다. 이유 1-4와 관련된 문제가 제출된 경우 당사가 도움을 드릴 가능성이 낮습니다.

이유 5-7에 대해서는 도움을 드릴 수 있으며, 커뮤니티의 수정 기여도 환영합니다! 요청된 모든 정보를 제공하여 VM-Packages에 버그를 보고해 주십시오.

업데이트

패키지 업데이트는 최선을 다해 제공되며 업데이트가 테스트되지 않았음을 참고하세요. 오류가 발생하면 새 FLARE-VM 설치를 수행하세요.

메일링 리스트

커뮤니티 공지 사항을 위해 FLARE 메일링 리스트를 구독하세요! "subscribe" 이메일을 [email protected]로 보내주십시오.

법적 고지

이 다운로드 구성 스크립트는 사이버 보안 분석가가 맬웨어 분석 환경을 위한 편리하고 다재다능한 도구 상자를 만드는 데 도움을 주기 위해 제공됩니다. 분석가가 원본 소스에서 직접 유용한 분석 도구 세트를 얻을 수 있는 편리한 인터페이스를 제공합니다. 이 스크립트의 설치 및 사용은 Apache 2.0 라이선스의 적용을 받습니다. 이 스크립트의 사용자는 다운로드/설치된 각 패키지의 라이선스 조건을 검토, 수락 및 준수해야 합니다. 설치를 진행함으로써 각 패키지의 라이선스 조건을 수락하고 각 패키지 사용이 각각의 라이선스 조건에 따르게 됨을 인정하는 것입니다.