Python-GUI zum Ausführen von capemon in einer eigenständigen VM. Bietet eine Teilmenge der Verarbeitung und Ergebnisse von CAPE (Configuration And Payload Extraction).
Die Oberfläche
- Tabs oben: Start, dann einer pro Ergebnisansicht (Info, Behavior, Signatures, Payloads,
Yara, Configs, Strings, Debugger, JS Log, Network).
- Der Start-Tab gruppiert Zielauswahl, Paketoptionen, Monitor- und Logging-Flags in
Karten; die Aktionen (Launch, Kill, Berichte, Zip Results) bleiben am unteren Rand des
Fensters fixiert, sodass sie nicht aus dem Sichtbereich scrollen.
- Dunkles und helles Theme, umschaltbar über die Statusleiste unten rechts oder über die Einstellungen.
Die Auswahl wird in
cfg.ini geschrieben und beim nächsten Lauf wiederhergestellt.
- Payloads und Configs vor Signatures verarbeiten. Eine Signatur sieht nur, was zum
Zeitpunkt ihrer Ausführung in den Ergebnissen steht, und mehrere lesen die Payload-, Config- und
Yara-Daten – würde der Durchlauf zuerst ausgeführt, käme es zu stiller Unterberichterstattung statt zu einem Fehler. Die Schaltfläche „Signatures“ bleibt deaktiviert,
bis diese Tabs ausgeführt wurden, und ihr Tooltip nennt die noch ausstehenden.
Arbeit an der UI
-
tools/uidev/ baut die echten Panels offscreen auf und schreibt sie als PNGs, sodass eine Layout-
Änderung ohne Start einer Analyse per Smoke-Test geprüft und per Screenshot festgehalten werden kann. Siehe
tools/uidev/README.md.
-
Dieselben Skripte laufen in der CI bei jedem Pull Request auf einem Windows-Runner und laden
die Renderings als Artefakt hoch.
-
Erstellen Sie eine Windows-10-VM, die zum Ausführen von Malware geeignet ist.
-
Installieren Sie Python in der VM, getestet mit 64-Bit-Python-Versionen 3.11, 3.12 und 3.12. Fügen Sie Python zum PATH hinzu.
-
Laden Sie beide Microsoft Visual C++ Redistributables herunter und installieren Sie sie:
-
Installieren Sie CAPEsolo.
-
Erstellen Sie einen Snapshot Ihrer VM.
Schnellstart
- Öffnen Sie ein Administrator-Eingabeaufforderungsfenster.
- Geben Sie capesolo ein, um es auszuführen.
Alternativ können Sie eine Verknüpfung zu CAPEsolo.exe erstellen,
die sich im Unterverzeichnis Scripts am selben Ort wie Ihre python.exe-Datei befindet.
- Aktivieren Sie unter Erweitert die Option „Als Administrator ausführen“.
- Eine Symboldatei ist im CAPEsolo-Installationsordner unter site-packages verfügbar.
Analyseergebnisse finden sich in C:\Users\Public\CAPEsolo\analysis.
- Können in C:\Users\Public\CAPEsolo\cfg.ini konfiguriert werden.
- Die Einstellungen dort überschreiben die mitgelieferten Standardwerte in python-path\site-packages\CAPEsolo\cfg.ini
und überstehen
pip install --upgrade CAPEsolo, das die mitgelieferte Kopie überschreibt.
- Geben Sie nur die Schlüssel an, die Sie ändern möchten; der Rest fällt auf die mitgelieferten Standardwerte zurück.
Community-Signaturen
- CAPEsolo liefert nur seine eigenen Signaturen mit. Die Community-Signaturen von CAPEv2 / CAPESandbox gehören
unverändert nach C:\Users\Public\CAPEsolo\signatures (neben cfg.ini). Update (siehe unten) kann
dessen Unterordner
community von https://github.com/CAPESandbox/community füllen, oder Sie kopieren Dateien
selbst dorthin.
- Unterordner werden durchsucht;
deprecated und linux werden übersprungen. Hinzugefügte oder bearbeitete Dateien werden
beim nächsten Signaturdurchlauf übernommen, ohne Neustart.
- Eine Signatur dort ersetzt eine mitgelieferte mit demselben Namen. Eine eigene Signatur außerhalb von
community schlägt ebenfalls eine gleichnamige darin.
- Eine Signatur, die ein CAPEv2-Modul benötigt, das CAPEsolo nicht hat, wird übersprungen, und das Analyseprotokoll
nennt das fehlende Modul. Eine Signatur, die einen Ergebnisabschnitt liest, den CAPEsolo nicht erzeugt (z. B. Suricata),
wird geladen, trifft aber nie zu.
- Optionale Datendateien, die diese Signaturen unter dem CAPEv2-Stammverzeichnis suchen (
extra/msft-public-ips.csv,
data/dga.bloom), werden aus C:\Users\Public\CAPEsolo gelesen.
YARA-Regeln
- CAPEsolo liefert seine CAPE-Regeln mit. Eigene Regeln gehören nach C:\Users\Public\CAPEsolo\yara, und
Community-Regeln kommen in dessen Unterordner
community. Beide werden zusammen mit den CAPE-Regeln gescannt.
Wenn zwei Dateien denselben Namen haben: Desktop\custom gewinnt, dann dein Ordner, dann community, dann
die mitgelieferten Regeln.
pip install --upgrade CAPEsolo stellt die mitgelieferten Regeln wieder her.
Update (Start-Tab)
- Fragt, was heruntergeladen werden soll:
- YARA rules - CAPEsolo (standardmäßig angehakt) und CAPEv2 bauen die mitgelieferten Regeln (die
CAPE-Regeln und die Monitor-Regeln, die capemon im Gast verwendet) aus den jeweils angehakten neu auf. Wo
beide eine Datei haben, wird die von CAPEsolo verwendet.
- YARA rules - Community ersetzt
yara\community durch data/yara/CAPE von CAPESandbox/community.
- Signatures - Community ersetzt
signatures\community durch modules/signatures/windows und
all von CAPESandbox/community.
- Deine eigenen Dateien und die im Debugger-Tab gespeicherte Regel werden nie angefasst. Alles wird
heruntergeladen, bevor irgendetwas ersetzt wird, sodass ein fehlgeschlagenes Update das Vorhandene erhält.
- Dieselben Auswahlmöglichkeiten gibt es als
capesolo --update_yara capesolo,capev2,community (kein Wert
bedeutet capesolo), capesolo --update_signatures und das MCP-Tool capesolo_update_yara.
Berichte (Start-Tab)
- Reports erstellt den JSON- und/oder HTML-Bericht (beide standardmäßig angehakt) aus einem einzigen Durchlauf
über die Analyse. Jeder wird auf dem Desktop und im Analyseverzeichnis geschrieben.
Setze die VM nach jeder Analyse zurück.
