FileInsight-plugins: toolbox de decodificação do editor hexadecimal McAfee FileInsight para análise de malware

FileInsight-plugins é um grande conjunto de plugins para o editor hexadecimal McAfee FileInsight. Ele adiciona muitas capacidades, como descriptografia, descompressão, pesquisa de strings de texto com XOR, varredura com regra YARA, emulação de código, desmontagem e mais! É útil para vários tipos de tarefas de decodificação em análise de malware (por exemplo, extrair executáveis de malware e documentos de isca de arquivos de documento maliciosos).

Para aqueles que procuram o instalador do FileInishgt, ele está disponível em https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi.

Capturas de tela
Apresentações
Casos de uso
Como instalar
Como usar
Como atualizar
Personalização
Lista de plugins (153 plugins)

Capturas de tela

Diálogo do plugin "AES decrypt"

Resultado da varredura do plugin "YARA scan"

Estrutura de dados do arquivo executável ELF analisado pelo plugin "Parse file structure"

Rastreamento de emulação do shellcode ARM64 Linux emulado pelo plugin "Emulate code"

Saída da desmontagem do shellcode x86 Linux desmontado pelo plugin "Disassemble"

Representação bitmap do arquivo executável Windows visualizado pelo plugin "Bitmap view"

Histograma de bytes do arquivo Excel mostrado pelo plugin "Byte histogram"

Gráfico de entropia do arquivo executável Windows mostrado pelo plugin "Entropy graph"

Apresentações

Black Hat USA 2021 Arsenal

CODE BLUE 2019 Bluebox

Casos de uso

Como instalar

Por favor, execute o seguinte comando. A versão mais recente do FileInsight-plugins e os pré-requisitos, incluindo FileInsight e Python 3.12.x (x64), serão instalados.

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

Se você usa um servidor proxy (por exemplo, endereço IP: 10.0.0.1, porta: 8080), execute os seguintes comandos.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

Existem alguns módulos Python que requerem instalação manual. Siga as instruções de instalação exibidas pelos plugins.

Como usar

Por favor, clique em "Operations" na aba "Plugins" e selecione um plugin.

Você também pode usar plugins pelo menu de clique com o botão direito.

Alguns plugins mostram um diálogo adicional para configurações do plugin no momento do uso.

Como atualizar

Se você deseja atualizar o FileInsight-plugins para a versão mais recente, clique em "Check for update" no menu de plugins. O script de instalação PowerShell (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1) será executado se uma nova versão estiver disponível. Os arquivos existentes serão sobrescritos.

Você também pode atualizar com o seguinte comando ("Check for update" executa este comando).

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"