flare-vm

Uma coleção de scripts de instalação de software para sistemas Windows que permite configurar e manter facilmente um ambiente de engenharia reversa em uma VM.

Pré-instalação

• Prepare uma máquina virtual Windows 10+
  • Instale o Windows na máquina virtual, por exemplo utilizando o ISO raw do Windows 10 de https://www.microsoft.com/en-us/software-download/windows10ISO
  • Certifique-se de que os requisitos acima são satisfeitos, incluindo:
    • Desative as Atualizações do Windows (pelo menos até a instalação terminar)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Desative a Proteção contra adulteração (Tamper Protection) e qualquer solução Antimalware (ex.: Windows Defender), preferencialmente através de Política de Grupo.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Não-GPO – Manual: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Não-GPO – Automatizado: https://github.com/ionuttbara/windows-defender-remover
      • Não-GPO – Semiautomatizado (o utilizador precisa desativar a Proteção contra adulteração): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Tire um snapshot da VM para poder sempre reverter para um estado anterior à instalação do FLARE-VM
• NOTA para IDA Pro: Se estiver a instalar o IDA Pro através de idapro.vm, deve colocar o instalador do IDA Pro (e, opcionalmente, o seu ficheiro de licença) no Ambiente de Trabalho antes de executar o instalador do FLARE-VM.

Instalação do FLARE-VM

• Abra um prompt PowerShell como administrador
• Descarregue o script de instalação installer.ps1 para o seu Ambiente de Trabalho:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Desbloqueie o script de instalação:
  • Unblock-File .\install.ps1
• Ative a execução de scripts:
  • Set-ExecutionPolicy Unrestricted -Force
    • Se receber um erro informando que a política de execução foi substituída por uma política definida num âmbito mais específico, poderá ter de passar um âmbito através de Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Para visualizar as políticas de execução de todos os âmbitos, execute Get-ExecutionPolicy -List
• Finalmente, execute o script do instalador da seguinte forma:
  • .\install.ps1
    • Para passar a sua senha como argumento: .\install.ps1 -password <password>
    • Para utilizar o modo apenas CLI com interação mínima do utilizador: .\install.ps1 -password <password> -noWait -noGui
    • Para utilizar o modo apenas CLI com interação mínima do utilizador e um ficheiro de configuração personalizado: .\install.ps1 -customConfig <config.xml> -password <password> -noWait -noGui
• Após a instalação, recomenda-se mudar para o modo de rede host-only e tirar um snapshot da VM

Parâmetros do Instalador

Abaixo estão as descrições dos parâmetros CLI.

Obtenha informações completas de uso executando Get-Help .\install.ps1 -Detailed.

GUI do Instalador

A GUI do instalador é exibida após a execução das verificações de validação e instalação do Boxstarter e Chocolatey (se ainda não estiverem instalados). Utilizando a GUI do instalador pode personalizar:

• Seleção de pacotes do FLARE-VM e da comunidade Chocolatey
• Caminhos de variáveis de ambiente

Configuração

O instalador irá descarregar o config.xml do repositório FLARE-VM. Este ficheiro contém a configuração predefinida, incluindo a lista de pacotes a instalar e os caminhos das variáveis de ambiente. Pode utilizar a sua própria configuração especificando o argumento CLI -customConfig e fornecendo um caminho de ficheiro local ou URL para o seu ficheiro config.xml. Por exemplo:

Layout da Barra de Tarefas

O instalador utilizará o CustomStartLayout.xml do repositório FLARE-VM. Este ficheiro contém o layout predefinido da barra de tarefas. Pode utilizar a sua própria configuração especificando o argumento CLI -customLayout e fornecendo um caminho de ficheiro local ou URL para o seu ficheiro CustomStartLayout.xml. Por exemplo:

Coisas a Considerar:

• Itens no .xml que não estiverem instalados não serão exibidos na barra de tarefas (não serão afixados links quebrados)
• Apenas aplicações (ficheiros .exe) ou atalhos para aplicações podem ser afixados.
• Se desejar afixar algo que não seja uma aplicação, considere criar um atalho que aponte para cmd.exe ou powershell com argumentos fornecidos que executem as ações que deseja.
• Se desejar fazer algo ser executado com direitos de administrador, considere criar um atalho utilizando VM-Install-Shortcut com a flag -runAsAdmin e afixar o atalho.

Passos de Pós-instalação

Pode incluir qualquer passo de pós-instalação que desejar na configuração dentro das tags apps, services, path-items, registry-items e custom-items.

Por exemplo:

• Para mostrar extensões de ficheiros conhecidas:

Para mais exemplos, consulte o ficheiro de configuração predefinido: config.xml.

Contribuir

• Consulte o nosso GUIA DE CONTRIBUIÇÃO para aprender como contribuir para o projeto.

Resolução de Problemas

Se a sua instalação falhar, tente identificar o motivo do erro de instalação lendo os ficheiros de registo listados abaixo no seu sistema:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

Certifique-se de que está a executar a versão mais recente do instalador do FLARE-VM e que a sua VM satisfaz os requisitos.

Erro do Instalador

Se a instalação falhou devido a um problema no script de instalação (ex.: install.ps1), reporte o erro no FLARE-VM. Forneça todas as informações solicitadas para garantir que possamos ajudá-lo.

Nota: Raramente o install.ps1 deve ser o motivo de uma falha na instalação. Provavelmente é um pacote específico ou conjunto de pacotes que está a falhar (veja abaixo).

Erro de Pacote

Os pacotes falham na instalação de vez em quando – isto é normal. As razões mais comuns estão descritas abaixo:

1. Falha ou tempo limite do Chocolatey ou MyGet ao descarregar um ficheiro .nupkg
2. Falha ou tempo limite devido ao anfitrião remoto ao descarregar uma ferramenta
3. Sistema de Deteção de Intrusões (IDS) ou produto antivírus (ex.: Windows Defender) impede o descarregamento de uma ferramenta ou remove a ferramenta do sistema
4. Problema específico do anfitrião, por exemplo ao usar uma versão não testada
5. A ferramenta falha ao compilar devido a dependências
6. URL antigo da ferramenta (ex.: HTTP STATUS 404)
7. O hash SHA256 da ferramenta mudou em relação ao que está codificado no script de instalação do pacote

As razões 1-4 são difíceis de corrigir, pois não as controlamos. Se for reportado um problema relacionado com as razões 1-4, é improvável que possamos ajudar.

Podemos ajudar com as razões 5-7 e também incentivamos a comunidade a contribuir com correções! Por favor, reporte o erro no VM-Packages fornecendo todas as informações solicitadas.

Atualizações

Note que as atualizações de pacotes são feitas no melhor esforço e não são testadas. Se encontrar erros, realize uma instalação limpa do FLARE-VM.

Lista de Correio

Subscreva a lista de correio FLARE para anúncios da comunidade! Envie um email "subscribe" para [email protected].

Aviso Legal

Este script de configuração de descarregamento é fornecido para ajudar analistas de cibersegurança a criar conjuntos de ferramentas úteis e versáteis para ambientes de análise de malware. Fornece uma interface conveniente para obter um conjunto útil de ferramentas de análise diretamente das suas fontes originais. A instalação e utilização deste script estão sujeitas à Licença Apache 2.0. O utilizador deste script deve rever, aceitar e cumprir os termos de licença de cada pacote descarregado/instalado. Ao prosseguir com a instalação, está a aceitar os termos de licença de cada pacote e a reconhecer que a sua utilização de cada pacote estará sujeita aos respetivos termos de licença.