FileInsight-plugins: набор инструментов декодирования для шестнадцатеричного редактора McAfee FileInsight для анализа вредоносного ПО

FileInsight-plugins — это большой набор плагинов для шестнадцатеричного редактора McAfee FileInsight. Он добавляет множество возможностей, таких как расшифровка, декомпрессия, поиск XOR-строк, сканирование с помощью YARA-правил, эмуляция кода, дизассемблирование и многое другое! Полезен для различных задач декодирования при анализе вредоносного ПО (например, извлечение исполняемых файлов и документов-приманок из вредоносных файлов документов).

Для тех, кто ищет установщик FileInsight, он доступен по адресу https://downloadcenter.trellix.com/products/mcafee-avert/fileinsight.msi.

• Скриншоты
• Презентации
• Примеры использования
• Как установить
• Как использовать
• Как обновить
• Настройка
• Список плагинов (155 плагинов)

Скриншоты

Диалог плагина "AES decrypt"

Результат сканирования плагина "YARA scan"

Структура данных исполняемого файла ELF, проанализированная плагином "Parse file structure"

Трассировка эмуляции shellcode ARM64 Linux, эмулированного плагином "Emulate code"

Вывод дизассемблирования shellcode x86 Linux, дизассемблированного плагином "Disassemble"

Растровое представление исполняемого файла Windows, визуализированное плагином "Bitmap view"

Байтовая гистограмма файла Excel, показанная плагином "Byte histogram"

График энтропии исполняемого файла Windows, показанный плагином "Entropy graph"

Презентации

Black Hat USA 2021 Arsenal

• Аннотация на сайте Black Hat USA
• Слайды
• Демонстрационное видео

CODE BLUE 2019 Bluebox

• Аннотация на сайте CODE BLUE
• Слайды (английский)
• Слайды (японский)

Примеры использования

• Пример 1: исполняемый файл, встроенный в файл Excel
• Пример 2: исполняемый файл, встроенный в файл RTF
• Пример 3: обфусцированный PHP-веб-шелл
• Пример 4: тестирование YARA-правил
• Пример 5: эмуляция кода

Как установить

Пожалуйста, выполните следующую команду. Будут установлены последняя релизная версия FileInsight-plugins и необходимые компоненты, включая FileInsight и Python 3.12.x (x64).

powershell -exec bypass -command "IEX((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))"

Если вы используете прокси-сервер (например, IP-адрес: 10.0.0.1, порт: 8080), пожалуйста, выполните следующие команды.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1

Есть несколько модулей Python, требующих ручной установки. Пожалуйста, следуйте инструкциям по установке, отображаемым плагинами.

Как использовать

Пожалуйста, нажмите "Operations" на вкладке "Plugins", затем выберите плагин.

Вы также можете использовать плагины из контекстного меню.

Некоторые плагины при использовании показывают дополнительное диалоговое окно для настройки.

Как обновить

Если вы хотите обновить FileInsight-plugins до последней релизной версии, нажмите "Check for update" в меню плагинов. Будет выполнен скрипт установки PowerShell (https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1), если доступна новая версия. Существующие файлы будут перезаписаны.

Вы также можете обновить с помощью следующей команды ("Check for update" выполняет эту команду).

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update"

Если вы используете прокси-сервер (например, IP-адрес: 10.0.0.1, порт: 8080), пожалуйста, выполните следующие команды.

curl -x http://10.0.0.1:8080 -Lo install.ps1 https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1
powershell -exec bypass .\install.ps1 -update

Если вы хотите обновить FileInsight-plugins до последнего снимка (snapshot), добавьте опцию "-snapshot".

powershell -exec bypass -command "& ([scriptblock]::Create((New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/nmantani/FileInsight-plugins/master/install.ps1'))) -update -snapshot"

Настройка

Для плагинов "Send to (CLI)" и "Send to (GUI)" вы можете открывать файлы с помощью ваших любимых программ. Пожалуйста, нажмите "Customize menu" в меню плагинов.