FLARE-VM

Добро пожаловать в FLARE-VM — коллекцию скриптов установки программного обеспечения для систем Windows, которая позволяет легко настроить и поддерживать среду обратной разработки на виртуальной машине (ВМ). FLARE-VM был разработан для решения проблемы подбора инструментов обратной разработки и опирается на две основные технологии: Chocolatey и Boxstarter. Chocolatey — это система управления пакетами Nuget для Windows, где «пакет» по сути представляет собой ZIP-файл, содержащий скрипты установки PowerShell, которые загружают и настраивают определённый инструмент. Boxstarter использует пакеты Chocolatey для автоматизации установки программного обеспечения и создания повторяемых, скриптовых сред Windows.

Требования

FLARE-VM следует устанавливать ТОЛЬКО на виртуальную машину. ВМ должна соответствовать следующим требованиям:

• Windows ≥ 10
• PowerShell ≥ 5
• Дисковое пространство не менее 60 ГБ и оперативная память не менее 2 ГБ
• Имена пользователей без пробелов или других специальных символов
• Подключение к Интернету
• Защита от несанкционированного доступа и любое антивирусное решение (например, Защитник Windows) отключены, желательно через групповую политику
• Обновления Windows отключены

Инструкция по установке

В этом разделе описаны шаги по установке FLARE-VM. Также может быть полезным видео Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Предварительная установка

• Подготовьте виртуальную машину с Windows 10+
  • Установите Windows на виртуальную машину, например, используя чистый ISO-образ Windows 10 с https://www.microsoft.com/en-us/software-download/windows10ISO
  • Убедитесь, что выполнены требования выше, в том числе:
    • Отключите обновления Windows (по крайней мере до завершения установки)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Отключите защиту от несанкционированного доступа и любое антивирусное решение (например, Защитник Windows), желательно через групповую политику.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Не GPO — вручную: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Не GPO — автоматически: https://github.com/ionuttbara/windows-defender-remover
      • Не GPO — полуавтоматически (пользователь должен отключить защиту от несанкционированного доступа вручную): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Сделайте снимок ВМ, чтобы всегда можно было вернуться к состоянию до установки FLARE-VM
• ПРИМЕЧАНИЕ для IDA Pro: Если вы устанавливаете IDA Pro через idapro.vm, необходимо поместить установщик IDA Pro (и, опционально, файл лицензии) на Рабочий стол перед запуском установщика FLARE-VM.

Установка FLARE-VM

• Откройте командную строку PowerShell от имени администратора
• Загрузите скрипт установки installer.ps1 на Рабочий стол:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Разблокируйте скрипт установки:
  • Unblock-File .\install.ps1
• Включите выполнение скриптов:
  • Set-ExecutionPolicy Unrestricted -Force
    • Если вы получите ошибку о том, что политика выполнения переопределена политикой, заданной в более конкретной области, возможно, потребуется передать область через Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Чтобы просмотреть политики выполнения для всех областей, выполните Get-ExecutionPolicy -List
• Наконец, выполните скрипт установки следующим образом:
  • .\install.ps1
    • Чтобы передать пароль в качестве аргумента: .\install.ps1 -password <пароль>
    • Чтобы использовать режим только CLI с минимальным взаимодействием с пользователем: .\install.ps1 -password <пароль> -noWait -noGui
    • Чтобы использовать режим только CLI с минимальным взаимодействием с пользователем и пользовательским конфигурационным файлом: .\install.ps1 -customConfig <config.xml> -password <пароль> -noWait -noGui
• После установки рекомендуется переключиться в режим сети только хост и сделать снимок ВМ

Параметры установщика

Ниже приведены описания параметров CLI.

ПАРАМЕТРЫ
    -password <String>
        Пароль текущего пользователя для обеспечения устойчивости к перезагрузкам через Boxstarter. Скрипт запрашивает пароль, если он не указан.

    -noPassword [<SwitchParameter>]
        Параметр-переключатель, указывающий, что пароль для перезагрузок не нужен.

    -customConfig <String>
        Путь к XML-файлу конфигурации. Может быть путём к файлу или URL.

    -customLayout <String>
        Путь к XML-файлу макета панели задач. Может быть путём к файлу или URL.

    -noWait [<SwitchParameter>]
        Параметр-переключатель для пропуска сообщения об установке перед началом установки.

    -noGui [<SwitchParameter>]
        Параметр-переключатель для пропуска графического интерфейса настройки.

    -noReboots [<SwitchParameter>]
        Параметр-переключатель для предотвращения перезагрузок (не рекомендуется).

    -noChecks [<SwitchParameter>]
        Параметр-переключатель для пропуска проверок (не рекомендуется).

Получите полную информацию об использовании, выполнив Get-Help .\install.ps1 -Detailed.

Графический интерфейс установщика

Графический интерфейс установщика отображается после выполнения проверок и установки Boxstarter и Chocolatey (если они ещё не установлены). С помощью графического интерфейса установщика вы можете настроить:

• Выбор пакетов из FLARE-VM и сообщества Chocolatey
• Пути к переменным среды

Конфигурация

Установщик загрузит config.xml из репозитория FLARE-VM. Этот файл содержит конфигурацию по умолчанию, включая список устанавливаемых пакетов и пути к переменным среды. Вы можете использовать свою собственную конфигурацию, указав аргумент CLI -customConfig и предоставив локальный путь к файлу или URL вашего файла config.xml. Например:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Макет панели задач

Установщик будет использовать CustomStartLayout.xml из репозитория FLARE-VM. Этот файл содержит макет панели задач по умолчанию. Вы можете использовать свою собственную конфигурацию, указав аргумент CLI -customLayout и предоставив локальный путь к файлу или URL вашего файла CustomStartLayout.xml. Например:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"