FLARE-VM

Добро пожаловать в FLARE-VM — коллекцию скриптов установки программного обеспечения для систем Windows, которая позволяет легко настроить и поддерживать среду обратной разработки на виртуальной машине (ВМ). FLARE-VM был разработан для решения проблемы подбора инструментов обратной разработки и опирается на две основные технологии: Chocolatey и Boxstarter. Chocolatey — это система управления пакетами Nuget для Windows, где «пакет» по сути представляет собой ZIP-файл, содержащий скрипты установки PowerShell, которые загружают и настраивают определённый инструмент. Boxstarter использует пакеты Chocolatey для автоматизации установки программного обеспечения и создания повторяемых, скриптовых сред Windows.

Требования

FLARE-VM следует устанавливать ТОЛЬКО на виртуальную машину. ВМ должна соответствовать следующим требованиям:

• Windows ≥ 10
• PowerShell ≥ 5
• Дисковое пространство не менее 60 ГБ и оперативная память не менее 2 ГБ
• Имена пользователей без пробелов или других специальных символов
• Подключение к Интернету
• Защита от несанкционированного доступа и любое антивирусное решение (например, Защитник Windows) отключены, желательно через групповую политику
• Обновления Windows отключены

Инструкция по установке

В этом разделе описаны шаги по установке FLARE-VM. Также может быть полезным видео Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM.

Предварительная установка

• Подготовьте виртуальную машину с Windows 10+
  • Установите Windows на виртуальную машину, например, используя чистый ISO-образ Windows 10 с https://www.microsoft.com/en-us/software-download/windows10ISO
  • Убедитесь, что выполнены требования выше, в том числе:
    • Отключите обновления Windows (по крайней мере до завершения установки)
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • Отключите защиту от несанкционированного доступа и любое антивирусное решение (например, Защитник Windows), желательно через групповую политику.
      • GPO: https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • Не GPO — вручную: https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • Не GPO — автоматически: https://github.com/ionuttbara/windows-defender-remover
      • Не GPO — полуавтоматически (пользователь должен отключить защиту от несанкционированного доступа вручную): https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• Сделайте снимок ВМ, чтобы всегда можно было вернуться к состоянию до установки FLARE-VM
• ПРИМЕЧАНИЕ для IDA Pro: Если вы устанавливаете IDA Pro через idapro.vm, необходимо поместить установщик IDA Pro (и, опционально, файл лицензии) на Рабочий стол перед запуском установщика FLARE-VM.

Установка FLARE-VM

• Откройте командную строку PowerShell от имени администратора
• Загрузите скрипт установки installer.ps1 на Рабочий стол:
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• Разблокируйте скрипт установки:
  • Unblock-File .\install.ps1
• Включите выполнение скриптов:
  • Set-ExecutionPolicy Unrestricted -Force
    • Если вы получите ошибку о том, что политика выполнения переопределена политикой, заданной в более конкретной области, возможно, потребуется передать область через Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force. Чтобы просмотреть политики выполнения для всех областей, выполните Get-ExecutionPolicy -List
• Наконец, выполните скрипт установки следующим образом:
  • .\install.ps1
    • Чтобы передать пароль в качестве аргумента: .\install.ps1 -password <пароль>

Параметры установщика

Ниже приведены описания параметров CLI.

ПАРАМЕТРЫ
    -password <String>
        Пароль текущего пользователя для обеспечения устойчивости к перезагрузкам через Boxstarter. Скрипт запрашивает пароль, если он не указан.

    -noPassword [<SwitchParameter>]
        Параметр-переключатель, указывающий, что пароль для перезагрузок не нужен.

    -customConfig <String>
        Путь к XML-файлу конфигурации. Может быть путём к файлу или URL.

    -customLayout <String>
        Путь к XML-файлу макета панели задач. Может быть путём к файлу или URL.

    -noWait [<SwitchParameter>]
        Параметр-переключатель для пропуска сообщения об установке перед началом установки.

    -noGui [<SwitchParameter>]
        Параметр-переключатель для пропуска графического интерфейса настройки.

    -noReboots [<SwitchParameter>]
        Параметр-переключатель для предотвращения перезагрузок (не рекомендуется).

    -noChecks [<SwitchParameter>]
        Параметр-переключатель для пропуска проверок (не рекомендуется).

Получите полную информацию об использовании, выполнив Get-Help .\install.ps1 -Detailed.

Графический интерфейс установщика

Графический интерфейс установщика отображается после выполнения проверок и установки Boxstarter и Chocolatey (если они ещё не установлены). С помощью графического интерфейса установщика вы можете настроить:

• Выбор пакетов из FLARE-VM и сообщества Chocolatey
• Пути к переменным среды

Конфигурация

Установщик загрузит config.xml из репозитория FLARE-VM. Этот файл содержит конфигурацию по умолчанию, включая список устанавливаемых пакетов и пути к переменным среды. Вы можете использовать свою собственную конфигурацию, указав аргумент CLI -customConfig и предоставив локальный путь к файлу или URL вашего файла config.xml. Например:

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

Макет панели задач

Установщик будет использовать CustomStartLayout.xml из репозитория FLARE-VM. Этот файл содержит макет панели задач по умолчанию. Вы можете использовать свою собственную конфигурацию, указав аргумент CLI -customLayout и предоставив локальный путь к файлу или URL вашего файла CustomStartLayout.xml. Например:

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

Что следует учесть:

• Элементы в .xml, которые не установлены, не будут отображаться на панели задач (битые ссылки не будут закреплены)
• Закреплены могут быть только приложения (файлы .exe) или ярлыки приложений.
• Если вы хотите закрепить что-то, не являющееся приложением, рассмотрите возможность создания ярлыка, указывающего на cmd.exe или powershell с аргументами, которые выполнят нужные действия.
• Если вы хотите, чтобы что-то запускалось с правами администратора, рассмотрите возможность создания ярлыка с помощью VM-Install-Shortcut с флагом -runAsAdmin и закрепления этого ярлыка.

Действия после установки

Вы можете включить любые действия после установки в конфигурацию внутри тегов apps, services, path-items, registry-items и custom-items.

Например:

• Чтобы показывать известные расширения файлов:

    <registry-items>
        <registry-item name="Показывать известные расширения файлов" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

Дополнительные примеры смотрите в файле конфигурации по умолчанию: config.xml.

Вклад в проект

• Ознакомьтесь с нашим РУКОВОДСТВОМ ПО ВКЛАДУ, чтобы узнать, как внести свой вклад в проект.

Устранение неполадок

Если установка не удалась, попробуйте определить причину ошибки установки, прочитав файлы журналов, перечисленные ниже в вашей системе:

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

Убедитесь, что вы используете последнюю версию установщика FLARE-VM и что ваша ВМ соответствует требованиям.

Ошибка установщика

Если установка не удалась из-за проблемы в скрипте установки (например, install.ps1), сообщите об ошибке в FLARE-VM. Предоставьте всю запрашиваемую информацию, чтобы мы могли вам помочь.

Примечание: Редко install.ps1 является причиной сбоя установки. Скорее всего, это конкретный пакет или набор пакетов, которые не работают (см. ниже).

Ошибка пакета

Время от времени пакеты не устанавливаются — это нормально. Наиболее распространённые причины перечислены ниже:

1. Ошибка или тайм-аут при загрузке файла .nupkg из Chocolatey или MyGet
2. Ошибка или тайм-аут при загрузке инструмента с удалённого хоста
3. Система обнаружения вторжений (IDS) или антивирусный продукт (например, Защитник Windows) блокирует загрузку инструмента или удаляет его из системы
4. Проблема, связанная с конкретным хостом, например, при использовании непроверенной версии
5. Инструмент не собирается из-за зависимостей
6. Устаревший URL инструмента (например, HTTP STATUS 404)
7. Хэш SHA256 инструмента изменился по сравнению с жёстко заданным в скрипте установки пакета

Причины 1–4 нам сложно исправить, поскольку мы их не контролируем. Если будет подана заявка, связанная с причинами 1–4, вряд ли мы сможем помочь.

Мы можем помочь с причинами 5–7 и приветствуем вклад сообщества в исправления! Пожалуйста, сообщите об ошибке в VM-Packages, предоставив всю запрашиваемую информацию.

Обновления

Обратите внимание, что обновления пакетов выполняются по мере возможности и не тестируются. Если возникают ошибки, выполните чистую установку FLARE-VM.

Список рассылки

Подпишитесь на список рассылки FLARE для получения объявлений сообщества! Отправьте письмо с темой «subscribe» на адрес [email protected].

Правовое уведомление

Этот скрипт загрузки конфигурации предоставляется для помощи аналитикам кибербезопасности в создании удобных и универсальных наборов инструментов для сред анализа вредоносного ПО. Он предоставляет удобный интерфейс для получения полезного набора инструментов анализа непосредственно из их исходных источников. Установка и использование этого скрипта регулируется лицензией Apache 2.0. Вы как пользователь этого скрипта должны ознакомиться, принять и соблюдать условия лицензии каждого загруженного/установленного пакета. Продолжая установку, вы принимаете условия лицензии каждого пакета и подтверждаете, что использование каждого пакета будет регулироваться соответствующими условиями лицензии.