CAPEsolo

capemon को स्टैंडअलोन VM में चलाने के लिए Python GUI। यह CAPE (Configuration And Payload Extraction) प्रोसेसिंग और परिणामों का एक उपसमुच्चय प्रदान करता है।

इंटरफ़ेस

• शीर्ष पर टैब: Start, फिर प्रत्येक परिणाम दृश्य के लिए एक (Info, Behavior, Signatures, Payloads, Yara, Configs, Strings, Debugger, JS Log, Network)।
• Start टैब लक्ष्य चयन, पैकेज विकल्प, मॉनिटर और लॉगिंग फ़्लैग को कार्ड में समूहित करता है; क्रियाएँ (Launch, Kill, रिपोर्ट, Zip Results) विंडो के निचले भाग में पिन रहती हैं, इसलिए वे स्क्रॉल होकर दूर नहीं जातीं।
• डार्क और लाइट थीम, नीचे दाईं ओर स्टेटस बार से या Settings से स्विच की जाती हैं। चयन cfg.ini में लिखा जाता है और अगली बार चलाने पर पुनर्स्थापित होता है।
• Signatures से पहले Payloads और Configs को प्रोसेस करें। एक सिग्नेचर केवल वही देखता है जो चलने के समय परिणामों में होता है, और कई पेलोड, कॉन्फ़िग और yara डेटा पढ़ते हैं - पास को पहले चलाने से विफल होने के बजाय चुपचाप कम रिपोर्टिंग होगी। Signatures बटन तब तक अक्षम रहता है जब तक वे टैब नहीं चले और इसका टूलटिप बताता है कि कौन से शेष हैं।

UI पर काम करना

• tools/uidev/ वास्तविक पैनलों को ऑफ़ स्क्रीन बनाता है और उन्हें PNG में लिखता है, ताकि लेआउट परिवर्तन का विश्लेषण शुरू किए बिना स्मोक-टेस्ट और स्क्रीनशॉट लिया जा सके। देखें tools/uidev/README.md।

• वही स्क्रिप्ट हर पुल रिक्वेस्ट पर CI में, Windows रनर पर चलती हैं, और रेंडर को आर्टिफ़ैक्ट के रूप में अपलोड करती हैं।

• एक Windows 10 VM बनाएँ जो मैलवेयर चलाने के लिए उपयुक्त हो।

  • कॉन्फ़िगरेशन विवरण के लिए CAPEv2 गेस्ट गाइड का उपयोग करें।
  • https://capev2.readthedocs.io/en/latest/installation/guest/index.html

• VM में Python इंस्टॉल करें, 64-बिट Python संस्करण 3.11, 3.12, और 3.12 पर परीक्षण किया गया। Python को path में जोड़ें।

• दोनों Microsoft Visual C++ Redistributables डाउनलोड और इंस्टॉल करें:

  • https://aka.ms/vs/17/release/vc_redist.x86.exe
  • https://aka.ms/vs/17/release/vc_redist.x64.exe

• CAPEsolo इंस्टॉल करें।

  • pip install CAPEsolo

• अपने VM का स्नैपशॉट लें।

त्वरित शुरुआत

• एक एडमिनिस्ट्रेटर कमांड विंडो खोलें।
• चलाने के लिए capesolo टाइप करें।

वैकल्पिक रूप से, CAPEsolo.exe के लिए एक शॉर्टकट बनाएँ, जो आपकी python.exe फ़ाइल के समान स्थान के Scripts सबडायरेक्टरी में होगा।

• Advanced के अंतर्गत, 'Run as administrator' चेक करें
• एक आइकन फ़ाइल CAPEsolo इंस्टॉल फ़ोल्डर में site-packages के अंतर्गत उपलब्ध है।

विश्लेषण परिणाम C:\Users\Public\CAPEsolo\analysis में मिलते हैं।

• C:\Users\Public\CAPEsolo\cfg.ini में कॉन्फ़िगर किया जा सकता है
• वहाँ की सेटिंग्स python-path\site-packages\CAPEsolo\cfg.ini में पैकेज्ड डिफ़ॉल्ट्स को ओवरराइड करती हैं, और pip install --upgrade CAPEsolo से बची रहती हैं, जो पैकेज्ड कॉपी को ओवरराइट करता है।
• केवल वही कुंजियाँ शामिल करें जिन्हें आप बदलना चाहते हैं; बाकी पैकेज्ड डिफ़ॉल्ट्स पर वापस चली जाती हैं।

सामुदायिक सिग्नेचर

• CAPEsolo केवल अपने स्वयं के सिग्नेचर शिप करता है। CAPEv2 / CAPESandbox सामुदायिक सिग्नेचर C:\Users\Public\CAPEsolo\signatures (cfg.ini के बगल में) में, बिना संशोधन के रखे जाते हैं। Update (नीचे) इसके community सबफ़ोल्डर को https://github.com/CAPESandbox/community से भर सकता है, या आप स्वयं वहाँ फ़ाइलें कॉपी कर सकते हैं।
• सबफ़ोल्डर स्कैन किए जाते हैं; deprecated और linux छोड़ दिए जाते हैं। जोड़ी या संपादित की गई फ़ाइलें अगले सिग्नेचर पास पर उठाई जाती हैं, बिना रीस्टार्ट के।
• वहाँ का एक सिग्नेचर उसी नाम के शिप किए गए सिग्नेचर को प्रतिस्थापित करता है। आपका अपना, community के बाहर, उसके अंदर के समान-नाम वाले से भी बेहतर होता है।
• एक सिग्नेचर जिसे CAPEv2 मॉड्यूल चाहिए जो CAPEsolo के पास नहीं है, छोड़ दिया जाता है, और विश्लेषण लॉग अनुपलब्ध मॉड्यूल का नाम बताता है। जो परिणाम अनुभाग पढ़ता है जो CAPEsolo उत्पन्न नहीं करता (उदाहरण के लिए Suricata), वह लोड होता है लेकिन कभी मेल नहीं खाता।
• वैकल्पिक डेटा फ़ाइलें जिन्हें वे सिग्नेचर CAPEv2 के रूट के अंतर्गत खोजते हैं (extra/msft-public-ips.csv, data/dga.bloom) C:\Users\Public\CAPEsolo से पढ़ी जाती हैं।

YARA नियम

• CAPEsolo अपने CAPE नियमों के साथ आता है। आपके अपने नियम C:\Users\Public\CAPEsolo\yara में जाते हैं, और कम्युनिटी नियम इसके community सबफ़ोल्डर में जाते हैं। दोनों को CAPE नियमों के साथ स्कैन किया जाता है। जहाँ दो फ़ाइलों का नाम समान हो: Desktop\custom जीतता है, फिर आपका फ़ोल्डर, फिर community, फिर पैकेज्ड नियम।
• pip install --upgrade CAPEsolo पैकेज्ड नियमों को वापस लगा देता है।

अपडेट (Start टैब)

• पूछता है कि क्या डाउनलोड करना है:
  • YARA नियम - CAPEsolo (डिफ़ॉल्ट रूप से टिक) और CAPEv2 पैकेज्ड नियमों (CAPE नियम और मॉनिटर नियम जो capemon गेस्ट में उपयोग करता है) को उनके टिक होने के अनुसार पुनर्निर्मित करते हैं। जहाँ दोनों में एक फ़ाइल हो, CAPEsolo की उपयोग की जाती है।
  • YARA नियम - Community yara\community को CAPESandbox/community के data/yara/CAPE से बदल देता है।
  • हस्ताक्षर - Community signatures\community को CAPESandbox/community के modules/signatures/windows और all से बदल देता है।
• आपकी अपनी फ़ाइलें, और Debugger टैब का सहेजा गया नियम, कभी नहीं छुए जाते। कुछ भी बदलने से पहले सब कुछ डाउनलोड हो जाता है, इसलिए विफल अपडेट वही रखता है जो पहले था।
• वही विकल्प capesolo --update_yara capesolo,capev2,community (कोई मान न होने का अर्थ है capesolo), capesolo --update_signatures, और MCP टूल capesolo_update_yara के रूप में उपलब्ध हैं।

रिपोर्ट (Start टैब)

• Reports विश्लेषण पर एक पास से JSON और/या HTML रिपोर्ट (दोनों डिफ़ॉल्ट रूप से टिक) बनाता है। प्रत्येक को Desktop पर और विश्लेषण निर्देशिका में लिखा जाता है।

प्रत्येक विश्लेषण के बाद VM को रिवर्ट करें।

JSON रिपोर्ट देखें (स्टैंडअलोन)

• tools/report_viewer.py CAPEsolo report.json के लिए एक स्व-निहित ट्रायज व्यूअर है जो किसी भी होस्ट पर केवल Python के साथ चलता है - कोई CAPEsolo इंस्टॉल नहीं और कोई pip निर्भरता नहीं (stdlib tkinter)।
  • python tools/report_viewer.py [path\to\report.json | path\to\bundle.zip]
  • Zip Results से एक परिणाम बंडल जैसा है वैसा ही खुलता है: रिपोर्ट को ज़िप से यथास्थान पढ़ा जाता है, इसलिए पूर्ण बंडल के पेलोड बाइट्स कभी भी उस मशीन पर नहीं लिखे जाते जो ट्रायज कर रही है।
  • बिना किसी आर्ग्युमेंट के यह %USERPROFILE%\Desktop\report.json खोलता है (जहाँ CAPEsolo इसे लिखता है); किसी अन्य रिपोर्ट या बंडल को चुनने के लिए File > Open का उपयोग करें।
  • ट्रायज टैब: Overview (वर्डिक्ट कार्ड - फ़ाइल हैश, डिटेक्शन, शीर्ष हस्ताक्षर, कॉन्फ़िग, गणनाएँ, और क्या कैप्चर में कुछ खो गया), Capture (रन ने क्या संग्रहीत किया और क्या नहीं), Signatures (गंभीरता-क्रमबद्ध, रंगीन, प्रति-प्रक्रिया साक्ष्य के साथ), Processes (प्रति-प्रक्रिया मेटाडेटा के साथ प्रक्रिया ट्री), Network (DNS/HTTP/Hosts/Domains/Flows), Payloads (yara हिट और स्ट्रिंग्स के साथ), Yara (हर स्कैन की गई फ़ाइल में हर नियम हिट, मेटाडेटा, मेल खाते स्ट्रिंग्स और ऑफ़सेट के साथ), और IOCs (एकत्रित, Copy / Export CSV / Export text के साथ)।
  • Search बॉक्स (शीर्ष बार) हस्ताक्षर, नेटवर्क, पेलोड, कॉन्फ़िग, IOC और स्ट्रिंग्स में एक मान ढूँढता है, और स्वामी टैब पर जाता है।
  • एक Raw JSON टैब पूरा ट्री रखता है उन चीज़ों के लिए जो ट्रायज टैब सामने नहीं लाते।
  • बड़ी रिपोर्ट संभालता है: फ़ाइल प्रगति बार के साथ पढ़ी जाती है, रॉ ट्री आलसी रूप से लोड होता है (विस्तार पर चिल्ड्रन), और विवरण फलक सीमित हैं, इसलिए यह सैकड़ों-MB/GB रिपोर्ट पर प्रतिक्रियाशील रहता है। (एक GB रिपोर्ट को पार्स करने के लिए अभी भी कई GB RAM चाहिए - यह Python के JSON में अंतर्निहित है।)
  • डार्क और लाइट थीम, CAPEsolo GUI के पैलेट से मेल खाते हुए। यह डिफ़ॉल्ट रूप से Windows "app mode" सेटिंग का पालन करता है (अन्यत्र डार्क); शीर्ष दाएँ बटन इसे सत्र के लिए बदल देता है, और --theme dark|light एक को बाध्य करता है। मेनू बार और मूल Open/error डायलॉग Windows द्वारा खींचे जाते हैं और हल्के रहते हैं - tkinter उन्हें थीम नहीं कर सकता।
  • tkinter की आवश्यकता है - मानक Windows/macOS Python के साथ बंडल; Linux पर python3-tk इंस्टॉल करें।