CAPEsolo

Sandbox malware per VM Windows standalone che esegue capemon, con visualizzatore di triage GUI, firme YARA, estrazione IOC, analisi di rete e download di campioni da VirusTotal/MalwareBazaar.

• tools/report_viewer.py è un visualizzatore di triage autonomo per un report.json di CAPEsolo che funziona su qualsiasi host con solo Python - nessuna installazione di CAPEsolo e nessuna dipendenza pip (tkinter della stdlib).
  • python tools/report_viewer.py [path\to\report.json]
  • Senza argomenti apre %USERPROFILE%\Desktop\report.json (dove CAPEsolo lo scrive); usare File > Open per sceglierne un altro.
  • Schede di triage: Overview (scheda del verdetto - hash del file, rilevamenti, firme principali, configurazione, conteggi), Signatures (ordinate per gravità, colorate, con evidenze per processo), Processes (l'albero dei processi con metadati per processo), Network (DNS/HTTP/Hosts/Domains/Flows), Payloads (con hit yara e stringhe), e IOCs (aggregati, con Copy / Export CSV / Export text).
  • La casella Search (barra superiore) trova un valore tra firme, rete, payload, configurazioni, IOC e stringhe, e salta alla scheda proprietaria.
  • Una scheda Raw JSON mantiene l'albero completo per tutto ciò che le schede di triage non mostrano.
  • Gestisce report di grandi dimensioni: il file viene letto con una barra di avanzamento, l'albero raw viene caricato in modo lazy (figli all'espansione), e i pannelli di dettaglio sono limitati, quindi rimane reattivo su report da centinaia di MB/GB. (Un report da GB richiede comunque diversi GB di RAM per il parsing - inerente al JSON di Python.)
  • Richiede tkinter - incluso nel Python standard di Windows/macOS; su Linux installare python3-tk.

Preservare i Risultati da una VM Instabile

• Se un campione rende la VM inutilizzabile dopo la detonazione, cliccare Zip Results nel pannello Start per archiviare l'intera directory di analisi in Desktop\capesolo_analysis_<timestamp>.zip.
• Per ripristinare in una VM pulita/ripristinata, copiare quello zip in C:\Users\Public\CAPEsolo\restore.zip, quindi avviare CAPEsolo. All'avvio estrae lo zip nella directory di analisi (solo quando quella directory non ha ancora analisi) e lo rinomina restore.zip.done così ripristina una sola volta.
• Le schede dei risultati leggono quindi gli artefatti ripristinati senza riesecuzione - elaborare ogni scheda (Behavior, Yara, Configs, Signatures) o usare i pulsanti JSON/HTML Report.

Scaricare Campioni tramite Hash

• Il pannello Start può recuperare un campione tramite MD5/SHA1/SHA256 da VirusTotal o MalwareBazaar e usarlo come target di analisi. La fonte viene selezionata automaticamente (prima VirusTotal, poi MalwareBazaar; MalwareBazaar richiede uno SHA256), in base a quali chiavi sono configurate.
• Attivarlo in cfg.ini (o tramite il pulsante Settings): sotto [download] impostare enabled = true. directory imposta dove vengono salvati i campioni (predefinito il Desktop dell'utente).
• Chiavi API - dove ottenerle:
  • VirusTotal: i download di file richiedono una chiave API VirusTotal Enterprise / Intelligence. La chiave community gratuita può cercare report ma non può scaricare file.
  • MalwareBazaar: una Auth-Key abuse.ch gratuita (creare un account su auth.abuse.ch).
• Le chiavi API sono memorizzate CRIPTATE, mai in chiaro sulla VM. Si produce il blob crittografato FUORI dalla VM con tools/encrypt_api_key.py e lo si incolla in cfg.ini.
• tools/encrypt_api_key.py è fornito nel repository sorgente di CAPEsolo sotto tools/. Eseguirlo su un host fidato (NON la VM di analisi); richiede solo pip install cryptography.
  • python tools/encrypt_api_key.py
  • Richiede (in modo nascosto) la chiave API e una password, e stampa un blob crittografato.
  • Crittografare ogni provider utilizzato con la STESSA password, così un solo prompt sblocca entrambi.
• Installare il blob nel guest in uno dei due modi:
  • incollandolo in cfg.ini come api_key_enc sotto [virustotal] e/o [malwarebazaar], oppure
  • impostando le variabili d'ambiente CAPESOLO_VT_APIKEY_ENC / CAPESOLO_MB_APIKEY_ENC (le variabili d'ambiente sovrascrivono cfg.ini).
• Quando i download sono abilitati, CAPEsolo richiede una volta all'avvio la password e decritta la chiave solo in memoria; la chiave in chiaro non tocca mai il disco della VM. Inserire la password, quindi creare uno snapshot della VM così è pronta a ogni ripristino.

Server MCP

• CAPEsolo include un entrypoint server MCP per flussi di lavoro di analisi programmatici.
• Avviarlo su stdio con CAPEsolo-mcp, oppure servirlo su HTTP per raggiungerlo dall'host.
• Vedere mcp_server.md per i trasporti, la configurazione di cfg.ini, l'elenco completo degli strumenti e gli esempi.

Debugger Interattivo

• Vedere interactive_debugger.md per il debugger GUI, e mcp_server.md per l'equivalente MCP.

CLI Headless a Esecuzione Singola

• CAPEsolo supporta una modalità a esecuzione singola non-MCP che riutilizza lo stesso job runner backend del server MCP.
• Eseguire un'analisi e uscire:
  • CAPEsolo --headless-analyze "C:\path\sample.exe"
• Flag opzionali:
  • --package <name>
  • --options "key=value,key2=value2"
  • --timeout <seconds>
  • --enforce-timeout
  • --headless-json
  • --headless-html-report