FileInsight-plugins

FileInsight-plugins: caixa de ferramentas de decodificação do editor hexadecimal McAfee FileInsight para análise de malware

Diálogo do plugin "AES decrypt"

Resultado da varredura do plugin "YARA scan"

Estrutura de dados do arquivo executável ELF analisado pelo plugin "Parse file structure"

Rastreamento de emulação do shellcode ARM64 Linux emulado pelo plugin "Emulate code"

Saída da desmontagem do shellcode x86 Linux desmontado pelo plugin "Disassemble"

Representação bitmap do arquivo executável Windows visualizado pelo plugin "Bitmap view"

Histograma de bytes do arquivo Excel mostrado pelo plugin "Byte histogram"

Gráfico de entropia do arquivo executável Windows mostrado pelo plugin "Entropy graph"

Apresentações

Black Hat USA 2021 Arsenal

• Resumo no site da Black Hat USA
• Apresentação de slides
• Vídeo de demonstração

CODE BLUE 2019 Bluebox

• Resumo no site da CODE BLUE
• Apresentação de slides (Inglês)
• Apresentação de slides (Japonês)

Casos de uso

• Caso de uso 1: arquivo executável embutido em arquivo Excel
• Caso de uso 2: arquivo executável embutido em arquivo RTF
• Caso de uso 3: webshell PHP ofuscado
• Caso de uso 4: teste de regra YARA
• Caso de uso 5: Emulação de código

Como instalar

Por favor, execute o seguinte comando. A versão mais recente do FileInsight-plugins e os pré-requisitos, incluindo FileInsight e Python 3.12.x (x64), serão instalados.

Se você usa um servidor proxy (por exemplo, endereço IP: 10.0.0.1, porta: 8080), execute os seguintes comandos.

Existem alguns módulos Python que requerem instalação manual. Siga as instruções de instalação exibidas pelos plugins.

Como usar

Por favor, clique em "Operations" na aba "Plugins" e selecione um plugin.

Você também pode usar plugins pelo menu de clique com o botão direito.

Alguns plugins mostram um diálogo adicional para configurações do plugin no momento do uso.

Como atualizar

Se você deseja atualizar o FileInsight-plugins para a versão mais recente, clique em "Check for update" no menu de plugins. O script de instalação PowerShell (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) será executado se uma nova versão estiver disponível. Os arquivos existentes serão sobrescritos.

Você também pode atualizar com o seguinte comando ("Check for update" executa este comando).

Se você usa um servidor proxy (por exemplo, endereço IP: 10.0.0.1, porta: 8080), execute os seguintes comandos.

Se você deseja atualizar o FileInsight-plugins para o snapshot mais recente, adicione a opção "-snapshot".

Personalização

Para os plugins "Send to (CLI)" e "Send to (GUI)", você pode abrir arquivos com seus programas favoritos. Clique em "Customize menu" no menu de plugins.

"plugins\Operations\Misc\send_to_cli.json" (para o plugin "Send to (CLI)") ou "plugins\Operations\Misc\send_to.json" (para o plugin "Send to (GUI)") será aberto com seu editor de texto padrão. Por favor, edite e salve.

Sua personalização será refletida nos itens do menu.

Lista de plugins (155 plugins)

Operações básicas

• Copy to new file
  Copiar a região selecionada (o arquivo inteiro se não selecionado) para um novo arquivo
• Switch file tabs
  Alternar abas de arquivo com uma caixa de listagem
• Bookmark
  Adicionar marcador na região selecionada com comentário e cor especificados
• Cut binary to clipboard
  Recortar dados binários da região selecionada para a área de transferência como texto codificado em hexadecimal
• Copy binary to clipboard
  Copiar dados binários da região selecionada para a área de transferência como texto codificado em hexadecimal
• Paste binary from clipboard
  Colar dados binários (convertidos de texto codificado em hexadecimal) da área de transferência
• Delete before
  Excluir toda a região antes da posição atual do cursor
• Delete after
  Excluir toda a região após a posição atual do cursor
• Fill
  Preencher a região selecionada com o padrão hexadecimal especificado
• Invert
  Inverter bits da região selecionada
• Reverse order
  Inverter a ordem da região selecionada
• Change endianness
  Alterar a endianness da região selecionada
• Swap nibbles
  Trocar cada par de nibbles da região selecionada
• Swap two bytes
  Trocar cada par de bytes da região selecionada
• To upper case
  Converter texto para maiúsculas na região selecionada
• To lower case
  Converter texto para minúsculas na região selecionada
• Swap case
  Inverter maiúsculas/minúsculas na região selecionada

Operações de compressão

Comprimir

• aPLib
  Comprimir a região selecionada com a biblioteca de compressão aPLib
• Brotli
  Comprimir a região selecionada com o algoritmo Brotli
• Bzip2
  Comprimir a região selecionada com o algoritmo bzip2
• Gzip
  Comprimir a região selecionada com o formato gzip
• LZ4
  Comprimir a região selecionada com o algoritmo LZ4
• LZF
  Comprimir a região selecionada com o algoritmo LZF
• LZFSE
  Comprimir a região selecionada com o algoritmo LZFSE
• lzip
  Comprimir a região selecionada com o formato lzip
• LZJB
  Comprimir a região selecionada com o algoritmo LZJB
• LZMA
  Comprimir a região selecionada com o algoritmo LZMA
• LZNT1
  Comprimir a região selecionada com o algoritmo LZNT1
• LZO
  Comprimir a região selecionada com o algoritmo LZO
• LZRW1/KH
  Comprimir a região selecionada com o algoritmo LZRW1/KH
• PPMd
  Comprimir a região selecionada com o algoritmo PPMd
• QuickLZ
  Comprimir a região selecionada com a biblioteca de compressão QuickLZ
• Raw deflate
  Comprimir a região selecionada com o algoritmo Deflate sem cabeçalho e soma de verificação (equivalente a gzdeflate() na linguagem PHP)
• Snappy
  Comprimir a região selecionada com a biblioteca de compressão Snappy
• XZ
  Comprimir a região selecionada com o formato XZ
• zlib (deflate)
  Comprimir a região selecionada com zlib (algoritmo Deflate)
• Zstandard
  Comprimir a região selecionada com o algoritmo Zstandard

Descomprimir

• aPLib
  Descomprimir a região selecionada com a biblioteca de compressão aPLib
• Brotli
  Descomprimir a região selecionada com o algoritmo Brotli
• Bzip2
  Descomprimir a região selecionada com o algoritmo bzip2
• Gzip
  Descomprimir a região selecionada comprimida com gzip
• LZ4
  Descomprimir a região selecionada com o algoritmo LZ4
• LZF
  Descomprimir a região selecionada com o algoritmo LZF
• LZFSE
  Descomprimir a região selecionada com o algoritmo LZFSE
• lzip
  Descomprimir a região selecionada comprimida com lzip
• LZJB
  Descomprimir a região selecionada com o algoritmo LZJB
• LZMA
  Descomprimir a região selecionada com o algoritmo LZMA
• LZNT1
  Descomprimir a região selecionada com o algoritmo LZNT1
• LZO
  Descomprimir a região selecionada com o algoritmo LZO
• LZRW1/KH
  Descomprimir a região selecionada com o algoritmo LZRW1/KH
• PPMd
  Descomprimir a região selecionada com o algoritmo PPMd
• QuickLZ
  Descomprimir a região selecionada com a biblioteca de compressão QuickLZ
• Raw inflate
  Descomprimir a região selecionada comprimida com Deflate que não possui cabeçalho e soma de verificação (equivalente a gzinflate() na linguagem PHP)
• Snappy
  Descomprimir a região selecionada com a biblioteca de compressão Snappy
• XZ
  Descomprimir a região selecionada comprimida com XZ
• zlib (inflate)
  Descomprimir a região selecionada com zlib (algoritmo Deflate)
• Zstandard
  Descomprimir a região selecionada com o algoritmo Zstandard

Operações criptográficas

Descriptografar

• AES
  Descriptografar a região selecionada com AES
• Blowfish
  Descriptografar a região selecionada com Blowfish
• CAST-128
  Descriptografar a região selecionada com CAST-128
• Camellia
  Descriptografar a região selecionada com Camellia
• ChaCha20
  Descriptografar a região selecionada com ChaCha20
• DES
  Descriptografar a região selecionada com DES
• RC2
  Descriptografar a região selecionada com RC2
• RC4
  Descriptografar a região selecionada com RC4
• RC5
  Descriptografar a região selecionada com RC5
• RC6
  Descriptografar a região selecionada com RC6
• Salsa20
  Descriptografar a região selecionada com Salsa20
• TEA
  Descriptografar a região selecionada com TEA (Tiny Encryption Algorithm)
• Triple DES
  Descriptografar a região selecionada com Triple DES
• XTEA
  Descriptografar a região selecionada com XTEA (eXtended Tiny Encryption Algorithm)
• XXTEA
  Descriptografar a região selecionada com XXTEA (Corrected Block Tiny Encryption Algorithm)

Criptografar

• AES
  Criptografar a região selecionada com AES
• Blowfish
  Criptografar a região selecionada com Blowfish
• CAST-128
  Criptografar a região selecionada com CAST-128
• Camellia
  Criptografar a região selecionada com Camellia
• ChaCha20
  Criptografar a região selecionada com ChaCha20
• DES
  Criptografar a região selecionada com DES
• RC2
  Criptografar a região selecionada com RC2
• RC4
  Criptografar a região selecionada com RC4
• RC5
  Criptografar a região selecionada com RC5
• RC6
  Criptografar a região selecionada com RC6
• Salsa20
  Criptografar a região selecionada com Salsa20
• TEA
  Criptografar a região selecionada com TEA (Tiny Encryption Algorithm)
• Triple DES
  Criptografar a região selecionada com Triple DES
• XTEA
  Criptografar a região selecionada com XTEA (eXtended Tiny Encryption Algorithm)
• XXTEA
  Descriptografar a região selecionada com XXTEA (Corrected Block Tiny Encryption Algorithm)

Operações de codificação

Decodificar

• Hex text to binary data
  Converter texto hexadecimal da região selecionada em binário
• Decimal text to binary data
  Converter texto decimal da região selecionada em dados binários
• Octal text to binary data
  Converter texto octal da região selecionada em dados binários
• Binary text to binary data
  Converter texto binário da região selecionada em dados binários
• Custom base16 decode
  Decodificar a região selecionada com tabela base16 personalizada
• Custom base32 decode
  Decodificar a região selecionada com tabela base32 personalizada
• Custom base58 decode
  Decodificar a região selecionada com tabela base58 personalizada
• Custom base62 decode
  Decodificar a região selecionada com tabela base62 personalizada
• Custom base64 decode
  Decodificar a região selecionada com tabela base64 personalizada
• Custom base85 decode
  Decodificar a região selecionada com tabela base85 personalizada
• Custom base91 decode
  Decodificar a região selecionada com tabela base91 personalizada
• Custom base92 decode
  Decodificar a região selecionada com tabela base92 personalizada
• gob decode
  Decodificar a região selecionada como dados serializados em gob (formato de serialização para golang) para notação Python
• MessagePack decode
  Decodificar a região selecionada como dados serializados em MessagePack para JSON
• Protobuf decode
  Decodificar a região selecionada como dados serializados em Protocol Buffers para JSON sem arquivos .proto
• From quoted printable
  Decodificar a região selecionada como texto quoted printable
• Unicode unescape
  Desescapar sequência de escape Unicode da região selecionada
• URL decode
  Decodificar a região selecionada como texto codificado por porcentagem usado por URL

Codificar

• Binary data to hex text
  Converter binário da região selecionada em texto hexadecimal
• Binary data to decimal text
  Converter binário da região selecionada em texto decimal
• Binary data to octal text
  Converter binário da região selecionada em texto octal
• Binary data to binary text
  Converter binário da região selecionada em texto binário
• Custom base16 encode
  Codificar a região selecionada com tabela base16 personalizada
• Custom base32 encode
  Codificar a região selecionada com tabela base32 personalizada
• Custom base58 encode
  Codificar a região selecionada com tabela base58 personalizada
• Custom base62 encode
  Codificar a região selecionada com tabela base62 personalizada
• Custom base64 encode
  Codificar a região selecionada com tabela base64 personalizada
• Custom base85 encode
  Codificar a região selecionada com tabela base85 personalizada
• Custom base91 encode
  Codificar a região selecionada com tabela base91 personalizada
• Custom base92 encode
  Codificar a região selecionada com tabela base92 personalizada
• MessagePack encode
  Codificar JSON da região selecionada em dados serializados em MessagePack
• ROT13
  Rotacionar caracteres alfabéticos na região selecionada pela quantidade especificada (padrão: 13)
• To quoted printable
  Codificar a região selecionada em texto quoted printable
• Unicode escape
  Escapar caracteres Unicode da região selecionada
• URL encode
  Codificar a região selecionada em texto codificado por porcentagem usado por URL

Operações diversas

• Emulate code
  Emular a região selecionada como um executável ou shellcode (o arquivo inteiro se não selecionado)
• File comparison
  Comparar conteúdos de dois arquivos
• Hash values
  Calcular valores CRC32, MD5, SHA1, SHA256, ssdeep, TLSH, imphash, impfuzzy, exphash, Rich PE header hash, authentihash, icon MD5, icon dhash, gimphash e telfhash da região selecionada (o arquivo inteiro se não selecionado)
• Send to (CLI)
  Enviar a região selecionada (o arquivo inteiro se não selecionado) para outro programa CLI e obter a saída
• Send to (GUI)
  Enviar a região selecionada (o arquivo inteiro se não selecionado) para outro programa GUI

Operações de análise

• Binwalk scan
  Escanear a região selecionada (o arquivo inteiro se não selecionado) para encontrar arquivos embutidos
• Disassemble
  Desmontar a região selecionada (o arquivo inteiro se não selecionado)
• Extract VBA macro
  Extrair macro VBA do Microsoft Office da região selecionada (o arquivo inteiro se não selecionado)
• File type
  Identificar o tipo de arquivo da região selecionada (o arquivo inteiro se não selecionado)
• Find PE file
  Encontrar arquivo PE na região selecionada (o arquivo inteiro se não selecionado) com base nas informações do cabeçalho PE
• Parse file structure
  Analisar a estrutura do arquivo da região selecionada (o arquivo inteiro se não selecionado) com Kaitai Struct
  Formatos de arquivo suportados: Gzip, RAR, ZIP, ELF, Mach-O, PE, tabela de partição MBR, BMP, GIF, JPEG, PNG, atalho do Windows
• Show metadata
  Mostrar metadados da região selecionada (o arquivo inteiro se não selecionado) com ExifTool
• Strings
  Extrair strings de texto da região selecionada (o arquivo inteiro se não selecionado)
• String type
  Identificar o tipo de strings, como chaves de API e endereços de carteira de criptomoedas na região selecionada (o arquivo inteiro se não selecionado) com lemmeknow

Operações de busca

• Regex extraction
  Pesquisar com expressão regular na região selecionada (o arquivo inteiro se não selecionado) e extrair regiões correspondentes como uma única região concatenada
• Regex search
  Pesquisar com expressão regular na região selecionada (o arquivo inteiro se não selecionado) e marcar as regiões correspondentes
• Replace
  Pesquisar com expressão regular na região selecionada (o arquivo inteiro se não selecionado) e substituir regiões correspondentes pelos dados especificados
• XOR hex search
  Pesquisar dados com XOR / rotação de bits na região selecionada (o arquivo inteiro se não selecionado)
• XOR text search
  Pesquisar string com XOR / rotação de bits na região selecionada (o arquivo inteiro se não selecionado)
• YARA scan
  Escanear a região selecionada (o arquivo inteiro se não selecionado) com YARA.

Operações de visualização

• Bitmap view
  Visualizar o arquivo inteiro como uma representação bitmap
• Byte histogram
  Mostrar histograma de bytes da região selecionada (o arquivo inteiro se não selecionado)
• Entropy graph
  Mostrar gráfico de entropia da região selecionada\n(o arquivo inteiro se não selecionado)

Operações XOR

• Simple XOR
  Aplicar XOR na região selecionada com a chave XOR especificada
• Decremental XOR
  Aplicar XOR na região selecionada enquanto decrementa a chave XOR
• Incremental XOR
  Aplicar XOR na região selecionada enquanto incrementa a chave XOR
• Null-preserving XOR
  Aplicar XOR na região selecionada enquanto pula bytes nulos e a própria chave XOR
• XOR with another file
  Aplicar XOR na região selecionada com o conteúdo de outro arquivo como chave XOR
• XOR with next byte
  Aplicar XOR na região selecionada usando o próximo byte como chave XOR
• XOR with next byte (reverse)
  Operação reversa do plugin "XOR with next byte"
• Guess multibyte XOR keys
  Adivinhar chaves XOR multibyte da região selecionada (o arquivo inteiro se não selecionado) com base em chaves reveladas que foram XORed com 0x00
• Visual encrypt
  Codificar a região selecionada com algoritmo visual encrypt usado pelo trojan Zeus
• Visual decrypt
  Decodificar a região selecionada com algoritmo visual decrypt usado pelo trojan Zeus

Autor

Nobutaka Mantani (X: @nmantani)

Licença

The BSD 2-Clause License (http://opensource.org/licenses/bsd-license.php)