CAPEsolo

Bac à sable autonome de malwares pour VM Windows exécutant capemon, avec visionneuse de triage GUI, signatures YARA, extraction d'IOC, analyse réseau et téléchargement d'échantillons via VirusTotal/MalwareBazaar.

Consulter un rapport JSON (autonome)

• tools/report_viewer.py est une visionneuse de triage autonome pour un report.json de CAPEsolo qui fonctionne sur n'importe quel hôte avec seulement Python - aucune installation de CAPEsolo et aucune dépendance pip (tkinter de la bibliothèque standard).
  • python tools/report_viewer.py [path\to\report.json]
  • Sans argument, il ouvre %USERPROFILE%\Desktop\report.json (où CAPEsolo l'écrit) ; utilisez Fichier > Ouvrir pour en choisir un autre.
  • Onglets de triage : Overview (carte de verdict - hachages de fichiers, détections, principales signatures, configuration, compteurs), Signatures (triées par gravité, colorées, avec preuves par processus), Processes (l'arborescence des processus avec métadonnées par processus), Network (DNS/HTTP/Hosts/Domains/Flows), Payloads (avec correspondances yara et chaînes), et IOCs (agrégés, avec Copier / Exporter CSV / Exporter texte).
  • La zone de recherche (barre supérieure) trouve une valeur dans les signatures, le réseau, les payloads, les configurations, les IOCs et les chaînes, et saute vers l'onglet correspondant.
  • Un onglet Raw JSON conserve l'arborescence complète pour tout ce que les onglets de triage ne présentent pas.
  • Gère les rapports volumineux : le fichier est lu avec une barre de progression, l'arborescence brute se charge paresseusement (enfants à l'expansion), et les volets de détail sont limités, ce qui le rend réactif sur des rapports de plusieurs centaines de Mo/Go. (Un rapport de 1 Go nécessite tout de même plusieurs Go de RAM pour être analysé - inhérent au JSON de Python.)
  • Nécessite tkinter - fourni avec le Python standard Windows/macOS ; sous Linux, installez python3-tk.

Préserver les résultats d'une VM instable

• Si un échantillon rend la VM inutilisable après détonation, cliquez sur Zip Results dans le panneau Start pour archiver tout le répertoire d'analyse dans Desktop\capesolo_analysis_<timestamp>.zip.
• Pour restaurer dans une VM propre/réinitialisée, copiez ce zip dans C:\Users\Public\CAPEsolo\restore.zip, puis démarrez CAPEsolo. Au démarrage, il extrait le zip dans le répertoire d'analyse (uniquement lorsque ce répertoire ne contient pas encore d'analyse) et le renomme restore.zip.done afin qu'il ne soit restauré qu'une fois.
• Les onglets de résultats lisent alors les artefacts restaurés sans nouvelle exécution - traitez chaque onglet (Behavior, Yara, Configs, Signatures) ou utilisez les boutons JSON/HTML Report.

Télécharger des échantillons par hachage

• Le panneau Start peut récupérer un échantillon par MD5/SHA1/SHA256 depuis VirusTotal ou MalwareBazaar et l'utiliser comme cible d'analyse. La source est sélectionnée automatiquement (VirusTotal d'abord, puis MalwareBazaar ; MalwareBazaar nécessite un SHA256), selon les clés configurées.
• Activez-le dans cfg.ini (ou via le bouton Settings) : sous [download], définissez enabled = true. directory définit où les échantillons sont enregistrés (par défaut le Bureau de l'utilisateur).
• Clés API - où les obtenir :
  • VirusTotal : les téléchargements de fichiers nécessitent une clé API VirusTotal Enterprise / Intelligence. La clé communautaire gratuite peut consulter des rapports mais ne peut pas télécharger de fichiers.
  • MalwareBazaar : une Auth-Key abuse.ch gratuite (créez un compte sur auth.abuse.ch).
• Les clés API sont stockées CHIFFRÉES, jamais en clair sur la VM. Vous produisez le blob chiffré HORS de la VM avec tools/encrypt_api_key.py et le collez dans cfg.ini.
• tools/encrypt_api_key.py est fourni dans le dépôt source de CAPEsolo sous tools/. Exécutez-le sur un hôte de confiance (PAS la VM d'analyse) ; il ne nécessite que pip install cryptography.
  • python tools/encrypt_api_key.py
  • Il demande (masqué) la clé API et un mot de passe, et affiche un blob chiffré.
  • Chiffrez chaque fournisseur que vous utilisez avec le MÊME mot de passe, afin qu'une seule invite déverrouille les deux.
• Installez le blob dans l'invité en :
  • le collant dans cfg.ini comme api_key_enc sous [virustotal] et/ou [malwarebazaar], ou
  • définissant les variables d'environnement CAPESOLO_VT_APIKEY_ENC / CAPESOLO_MB_APIKEY_ENC (les variables d'environnement remplacent cfg.ini).
• Lorsque les téléchargements sont activés, CAPEsolo demande une fois au démarrage le mot de passe et déchiffre la clé en mémoire uniquement ; la clé en clair ne touche jamais le disque de la VM. Saisissez le mot de passe, puis créez un snapshot de la VM afin qu'elle soit prête à chaque restauration.

Serveur MCP

• CAPEsolo inclut un point d'entrée de serveur MCP pour les workflows d'analyse programmatiques.
• Démarrez-le via stdio avec CAPEsolo-mcp, ou servez-le via HTTP pour y accéder depuis l'hôte.
• Consultez mcp_server.md pour les transports, la configuration cfg.ini, la liste complète des outils et des exemples.

Débogueur interactif

• Consultez interactive_debugger.md pour le débogueur GUI, et mcp_server.md pour l'équivalent MCP.

CLI d'exécution unique sans interface

• CAPEsolo prend en charge un mode d'exécution unique non-MCP qui réutilise le même exécuteur de tâches backend que le serveur MCP.
• Exécutez une analyse et quittez :
  • CAPEsolo --headless-analyze "C:\path\sample.exe"
• Options facultatives :
  • --package <name>
  • --options "key=value,key2=value2"
  • --timeout <seconds>
  • --enforce-timeout
  • --headless-json
  • --headless-html-report