CAPEsolo

Eigenständige Windows-VM-Malware-Sandbox mit capemon, GUI-Triage-Viewer, YARA-Signaturen, IOC-Extraktion, Netzwerkanalyse und VirusTotal/MalwareBazaar-Sample-Download.

Setzen Sie die VM nach jeder Analyse zurück.

Einen JSON-Bericht anzeigen (eigenständig)

• tools/report_viewer.py ist ein eigenständiger Triage-Viewer für eine CAPEsolo-report.json, der auf jedem Host nur mit Python läuft – keine CAPEsolo-Installation und keine pip-Abhängigkeiten (stdlib tkinter).
  • python tools/report_viewer.py [path\to\report.json]
  • Ohne Argument öffnet er %USERPROFILE%\Desktop\report.json (wohin CAPEsolo ihn schreibt); verwenden Sie Datei > Öffnen, um eine andere auszuwählen.
  • Triage-Tabs: Übersicht (Verdict-Karte – Datei-Hashes, Erkennungen, Top-Signaturen, Konfiguration, Zählungen), Signaturen (nach Schweregrad sortiert, farbig, mit prozessbezogenen Belegen), Prozesse (der Prozessbaum mit prozessbezogenen Metadaten), Netzwerk (DNS/HTTP/Hosts/Domains/Flows), Payloads (mit Yara-Treffern und Strings) und IOCs (aggregiert, mit Kopieren / CSV exportieren / Text exportieren).
  • Das Suchfeld (obere Leiste) findet einen Wert über Signaturen, Netzwerk, Payloads, Konfigurationen, IOCs und Strings hinweg und springt zum zugehörigen Tab.
  • Ein Raw-JSON-Tab behält den vollständigen Baum für alles bei, was die Triage-Tabs nicht anzeigen.
  • Verarbeitet große Berichte: Die Datei wird mit einem Fortschrittsbalken gelesen, der Rohbaum wird verzögert geladen (Kinder beim Erweitern), und die Detailbereiche sind begrenzt, sodass er bei Berichten von hundert MB/GB reaktionsfähig bleibt. (Ein GB-Bericht benötigt zum Parsen immer noch mehrere GB RAM – inhärent für Pythons JSON.)
  • Benötigt tkinter – im Standard-Windows/macOS-Python enthalten; unter Linux installieren Sie python3-tk.

Ergebnisse aus einer instabilen VM bewahren

• Wenn eine Probe die VM nach der Detonation unbrauchbar macht, klicken Sie im Startbereich auf Zip Results, um das gesamte Analyseverzeichnis in Desktop\capesolo_analysis_<timestamp>.zip zu archivieren.
• Um es in eine saubere/zurückgesetzte VM wiederherzustellen, kopieren Sie diese Zip-Datei nach C:\Users\Public\CAPEsolo\restore.zip und starten Sie dann CAPEsolo. Beim Start entpackt es die Zip-Datei in das Analyseverzeichnis (nur wenn dieses Verzeichnis noch keine Analyse enthält) und benennt sie in restore.zip.done um, sodass sie nur einmal wiederhergestellt wird.
• Die Ergebnis-Tabs lesen dann die wiederhergestellten Artefakte ohne erneuten Lauf – verarbeiten Sie jeden Tab (Behavior, Yara, Configs, Signatures) oder verwenden Sie die Schaltflächen JSON/HTML Report.

Proben per Hash herunterladen

• Der Startbereich kann eine Probe per MD5/SHA1/SHA256 von VirusTotal oder MalwareBazaar abrufen und sie als Analyseziel verwenden. Die Quelle wird automatisch ausgewählt (zuerst VirusTotal, dann MalwareBazaar; MalwareBazaar erfordert einen SHA256), basierend darauf, welche Schlüssel konfiguriert sind.
• Aktivieren Sie es in cfg.ini (oder über die Schaltfläche Settings): Setzen Sie unter [download] enabled = true. directory legt fest, wo Proben gespeichert werden (standardmäßig der Desktop des Benutzers).
• API-Schlüssel – wo Sie sie erhalten:
  • VirusTotal: Dateidownloads erfordern einen VirusTotal Enterprise / Intelligence API-Schlüssel. Der kostenlose Community-Schlüssel kann Berichte nachschlagen, aber keine Dateien herunterladen.
  • MalwareBazaar: ein kostenloser abuse.ch Auth-Key (erstellen Sie ein Konto unter auth.abuse.ch).
• API-Schlüssel werden VERSCHLÜSSELT gespeichert, niemals im Klartext auf der VM. Sie erzeugen den verschlüsselten Blob AUSSERHALB der VM mit tools/encrypt_api_key.py und fügen ihn in cfg.ini ein.
• tools/encrypt_api_key.py wird im CAPEsolo-Quellrepository unter tools/ mitgeliefert. Führen Sie es auf einem vertrauenswürdigen Host aus (NICHT auf der Analyse-VM); es benötigt nur pip install cryptography.
  • python tools/encrypt_api_key.py
  • Es fordert (verborgen) den API-Schlüssel und ein Passwort an und gibt einen verschlüsselten Blob aus.
  • Verschlüsseln Sie jeden Anbieter, den Sie verwenden, mit DEMSELBEN Passwort, damit eine Eingabeaufforderung beide entsperrt.
• Installieren Sie den Blob im Gast, indem Sie entweder:
  • ihn in cfg.ini als api_key_enc unter [virustotal] und/oder [malwarebazaar] einfügen, oder
  • die Umgebungsvariablen CAPESOLO_VT_APIKEY_ENC / CAPESOLO_MB_APIKEY_ENC setzen (Umgebungsvariablen überschreiben cfg.ini).
• Wenn Downloads aktiviert sind, fordert CAPEsolo beim Start einmalig das Passwort an und entschlüsselt den Schlüssel nur im Speicher; der Klartextschlüssel berührt niemals die Festplatte der VM. Geben Sie das Passwort ein und erstellen Sie dann einen Snapshot der VM, damit sie bei jedem Zurücksetzen bereit ist.

MCP-Server

• CAPEsolo enthält einen MCP-Server-Einstiegspunkt für programmatische Analyse-Workflows.
• Starten Sie ihn über stdio mit CAPEsolo-mcp oder stellen Sie ihn über HTTP bereit, um ihn vom Host aus zu erreichen.
• Siehe mcp_server.md für Transporte, cfg.ini-Konfiguration, die vollständige Werkzeugliste und Beispiele.

Interaktiver Debugger

• Siehe interactive_debugger.md für den GUI-Debugger und mcp_server.md für das MCP-Äquivalent.

Headless-Single-Run-CLI

• CAPEsolo unterstützt einen Nicht-MCP-Single-Run-Modus, der denselben Backend-Job-Runner wie der MCP-Server verwendet.
• Führen Sie eine Analyse aus und beenden Sie:
  • CAPEsolo --headless-analyze "C:\path\sample.exe"
• Optionale Flags:
  • --package <name>
  • --options "key=value,key2=value2"
  • --timeout <seconds>
  • --enforce-timeout
  • --headless-json
  • --headless-html-report