FLARE-VM

Bem-vindo ao FLARE-VM - uma coleção de scripts de instalação de software para sistemas Windows que permite configurar e manter facilmente um ambiente de engenharia reversa numa máquina virtual (VM). O FLARE-VM foi concebido para resolver o problema de curadoria de ferramentas de engenharia reversa e baseia-se em duas tecnologias principais: Chocolatey e Boxstarter. Chocolatey é um sistema de gestão de pacotes Nuget para Windows, onde um "pacote" é essencialmente um ficheiro ZIP contendo scripts de instalação PowerShell que descarregam e configuram uma ferramenta específica. O Boxstarter aproveita os pacotes Chocolatey para automatizar a instalação de software e criar ambientes Windows repetíveis e com script.

Requisitos

O FLARE-VM deve ser instalado APENAS numa máquina virtual. A VM deve satisfazer os seguintes requisitos:

• Windows ≥ 10
• PowerShell ≥ 5
• Capacidade de disco de pelo menos 60 GB e memória de pelo menos 2 GB
• Nomes de utilizador sem espaços ou outros caracteres especiais
• Conexão à Internet
• Proteção contra adulteração (Tamper Protection) e qualquer solução Antimalware (ex.: Windows Defender) desativadas, preferencialmente através de Política de Grupo
• Atualizações do Windows Desativadas

Instruções de instalação

Esta secção documenta os passos para instalar o FLARE-VM. Poderá também achar útil o vídeo Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Pré-instalação

• Prepare uma máquina virtual Windows 10+
  • Instale o Windows na máquina virtual, por exemplo utilizando o ISO raw do Windows 10 de https://www.microsoft.com/en-us/software-download/windows10ISO
  • Certifique-se de que os requisitos acima são satisfeitos, incluindo:
    • Desative as Atualizações do Windows (pelo menos até a instalação terminar)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Desative a Proteção contra adulteração (Tamper Protection) e qualquer solução Antimalware (ex.: Windows Defender), preferencialmente através de Política de Grupo.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Não-GPO – Manual: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Não-GPO – Automatizado: https://github.com/ionuttbara/windows-defender-remover
      • Não-GPO – Semiautomatizado (o utilizador precisa desativar a Proteção contra adulteração): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Tire um snapshot da VM para poder sempre reverter para um estado anterior à instalação do FLARE-VM
• NOTA para IDA Pro: Se estiver a instalar o IDA Pro através de idapro.vm, deve colocar o instalador do IDA Pro (e, opcionalmente, o seu ficheiro de licença) no Ambiente de Trabalho antes de executar o instalador do FLARE-VM.

Instalação do FLARE-VM

• Abra um prompt PowerShell como administrador
• Descarregue o script de instalação installer.ps1 para o seu Ambiente de Trabalho:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Desbloqueie o script de instalação:
  • Unblock-File .\install.ps1
• Ative a execução de scripts:
  • Set-ExecutionPolicy Unrestricted -Force
    • Se receber um erro informando que a política de execução foi substituída por uma política definida num âmbito mais específico, poderá ter de passar um âmbito através de Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Para visualizar as políticas de execução de todos os âmbitos, execute Get-ExecutionPolicy -List
• Finalmente, execute o script do instalador da seguinte forma:
  • .\install.ps1
    • Para passar a sua senha como argumento: .\install.ps1 -password <password>
    • Para utilizar o modo apenas CLI com interação mínima do utilizador: .\install.ps1 -password <password> -noWait -noGui
    • Para utilizar o modo apenas CLI com interação mínima do utilizador e um ficheiro de configuração personalizado: .\install.ps1 -customConfig <config.xml> -password <password> -noWait -noGui
• Após a instalação, recomenda-se mudar para o modo de rede host-only e tirar um snapshot da VM

Parâmetros do Instalador

Abaixo estão as descrições dos parâmetros CLI.

PARAMETERS
    -password <String>
        Senha do utilizador atual para permitir resistência a reinícios através do Boxstarter. O script solicita a senha se não for fornecida.

    -noPassword [<SwitchParameter>]
        Parâmetro de comutação que indica que não é necessária uma senha para reinícios.

    -customConfig <String>
        Caminho para um ficheiro XML de configuração. Pode ser um caminho de ficheiro ou URL.

    -customLayout <String>
        Caminho para um ficheiro XML de layout da barra de tarefas. Pode ser um caminho de ficheiro ou URL.

    -noWait [<SwitchParameter>]
        Parâmetro de comutação para ignorar a mensagem de instalação antes do início da instalação.

    -noGui [<SwitchParameter>]
        Parâmetro de comutação para ignorar a GUI de personalização.

    -noReboots [<SwitchParameter>]
        Parâmetro de comutação para evitar reinícios (não recomendado).

    -noChecks [<SwitchParameter>]
        Parâmetro de comutação para ignorar verificações de validação (não recomendado).

Obtenha informações completas de uso executando Get-Help .\install.ps1 -Detailed.

GUI do Instalador

A GUI do instalador é exibida após a execução das verificações de validação e instalação do Boxstarter e Chocolatey (se ainda não estiverem instalados). Utilizando a GUI do instalador pode personalizar:

• Seleção de pacotes do FLARE-VM e da comunidade Chocolatey
• Caminhos de variáveis de ambiente

Configuração

O instalador irá descarregar o config.xml do repositório FLARE-VM. Este ficheiro contém a configuração predefinida, incluindo a lista de pacotes a instalar e os caminhos das variáveis de ambiente. Pode utilizar a sua própria configuração especificando o argumento CLI -customConfig e fornecendo um caminho de ficheiro local ou URL para o seu ficheiro config.xml. Por exemplo:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Layout da Barra de Tarefas

O instalador utilizará o CustomStartLayout.xml do repositório FLARE-VM. Este ficheiro contém o layout predefinido da barra de tarefas. Pode utilizar a sua própria configuração especificando o argumento CLI -customLayout e fornecendo um caminho de ficheiro local ou URL para o seu ficheiro CustomStartLayout.xml. Por exemplo:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"