GUI de Python para ejecutar capemon en una VM independiente. Proporciona un subconjunto del procesamiento y los resultados de CAPE (Configuration And Payload Extraction).
La interfaz
- Pestañas en la parte superior: Start, y luego una por cada vista de resultados (Info, Behavior, Signatures, Payloads,
Yara, Configs, Strings, Debugger, JS Log, Network).
- La pestaña Start agrupa la selección del objetivo, las opciones del paquete, el monitor y las marcas de registro en
tarjetas; las acciones (Launch, Kill, informes, Zip Results) permanecen fijas en la parte inferior de la
ventana, para que no desaparezcan al desplazarse.
- Temas oscuro y claro, que se cambian desde la barra de estado en la esquina inferior derecha o desde Settings.
La elección se escribe en
cfg.ini y se restaura en la siguiente ejecución.
- Procesa Payloads y Configs antes que Signatures. Una firma solo ve lo que hay en
los resultados cuando se ejecuta, y varias leen los datos de payload, config y yara; ejecutar
esa pasada primero haría que se informara de menos sin avisar en lugar de fallar. El botón Signatures permanece deshabilitado
hasta que se hayan ejecutado esas pestañas, y su tooltip indica cuáles están pendientes.
Trabajar en la interfaz
-
tools/uidev/ construye los paneles reales fuera de pantalla y los guarda como PNG, de modo que un cambio de diseño
se puede probar rápidamente y capturar sin lanzar un análisis. Consulta
tools/uidev/README.md.
-
Los mismos scripts se ejecutan en CI en cada pull request, en un runner de Windows, y suben las
capturas como artefacto.
-
Crea una VM de Windows 10 adecuada para ejecutar malware.
-
Instala Python en la VM; probado en versiones de Python de 64 bits 3.11, 3.12 y 3.12. Añade Python al path.
-
Descarga e instala ambos Microsoft Visual C++ Redistributables:
-
Instala CAPEsolo.
-
Crea una instantánea de tu VM.
Inicio rápido
- Abre una ventana de comandos como administrador.
- Escribe capesolo para ejecutarlo.
Como alternativa, crea un acceso directo a CAPEsolo.exe,
que estará en el subdirectorio Scripts de la misma ubicación que tu archivo python.exe.
- En Avanzado, marca 'Ejecutar como administrador'
- Hay disponible un archivo de icono en la carpeta de instalación de CAPEsolo, dentro de site-packages.
Los resultados del análisis se encuentran en C:\Users\Public\CAPEsolo\analysis.
- Se puede configurar en C:\Users\Public\CAPEsolo\cfg.ini
- Los ajustes de allí anulan los valores predeterminados empaquetados en python-path\site-packages\CAPEsolo\cfg.ini,
y sobreviven a
pip install --upgrade CAPEsolo, que sobrescribe la copia empaquetada.
- Incluye solo las claves que quieras cambiar; el resto recurre a los valores predeterminados empaquetados.
Firmas de la comunidad
- CAPEsolo solo incluye sus propias firmas. Las firmas de la comunidad de CAPEv2 / CAPESandbox van en
C:\Users\Public\CAPEsolo\signatures (junto a cfg.ini), sin modificar. Update (más abajo) puede llenar
su subcarpeta
community desde https://github.com/CAPESandbox/community, o puedes copiar archivos allí
tú mismo.
- Se escanean las subcarpetas; se omiten
deprecated y linux. Los archivos añadidos o editados se detectan
en la siguiente pasada de firmas, sin reiniciar.
- Una firma allí reemplaza a una incluida con el mismo nombre. Una tuya propia, fuera de
community, también prevalece sobre una con el mismo nombre dentro de ella.
- Una firma que necesita un módulo de CAPEv2 que CAPEsolo no tiene se omite, y el registro del análisis
indica el módulo que falta. Una que lee una sección de resultados que CAPEsolo no produce (Suricata,
por ejemplo) se carga pero nunca coincide.
- Los archivos de datos opcionales que buscan esas firmas bajo la raíz de CAPEv2 (
extra/msft-public-ips.csv,
data/dga.bloom) se leen desde C:\Users\Public\CAPEsolo.
Reglas YARA
- CAPEsolo incluye sus reglas CAPE. Tus propias reglas van en C:\Users\Public\CAPEsolo\yara, y
las reglas de la comunidad van en su subcarpeta
community. Ambas se escanean junto con las reglas CAPE.
Cuando dos archivos comparten nombre: gana Desktop\custom, luego tu carpeta, luego community, luego
las reglas empaquetadas.
pip install --upgrade CAPEsolo restaura las reglas empaquetadas.
Actualización (pestaña Start)
- Pregunta qué descargar:
- YARA rules - CAPEsolo (marcada por defecto) y CAPEv2 reconstruyen las reglas empaquetadas (las
reglas CAPE y las reglas del monitor que capemon usa en el invitado) a partir de las que estén marcadas. Cuando
ambas tienen un archivo, se usa el de CAPEsolo.
- YARA rules - Community reemplaza
yara\community con data/yara/CAPE de CAPESandbox/community.
- Signatures - Community reemplaza
signatures\community con modules/signatures/windows y
all de CAPESandbox/community.
- Tus propios archivos, y la regla guardada de la pestaña Debugger, nunca se tocan. Todo se descarga
antes de que se reemplace nada, así que una actualización fallida conserva lo que había.
- Las mismas opciones están disponibles como
capesolo --update_yara capesolo,capev2,community (sin valor
significa capesolo), capesolo --update_signatures, y la herramienta MCP capesolo_update_yara.
Informes (pestaña Start)
- Reports genera el informe JSON y/o HTML (ambos marcados por defecto) a partir de una sola pasada sobre el
análisis. Cada uno se escribe en el Escritorio y en el directorio de análisis.
Revierte la VM después de cada análisis.
