mandiant/capaStrumento di analisi statica e dinamica basato su regole che identifica le capacità nei file PE, ELF, .NET e shellcode, mappandole alle tecniche MITRE ATT&CK per il triage di malware.
capa rileva le capacità nei file eseguibili. Lo esegui su un PE, ELF, modulo .NET, file shellcode o un report sandbox e ti dice cosa pensa che il programma possa fare. Ad esempio, potrebbe suggerire che il file è un backdoor, è in grado di installare servizi o si basa su HTTP per comunicare.
Per ispezionare interattivamente i risultati di capa nel tuo browser, usa capa Explorer Web.
Se vuoi ispezionare o scrivere regole di capa, vai al repository capa-rules. Altrimenti, continua a leggere.
Qui sotto trovi un elenco dei nostri post sul blog su capa con maggiori dettagli.
$ capa.exe suspicious.exe
+--------------------+------------------------------------------------------------------------+ | ATT&CK Tactic | ATT&CK Technique | |--------------------+------------------------------------------------------------------------| | DEFENSE EVASION | Obfuscated Files or Information [T1027] | | DISCOVERY | Query Registry [T1012] | | | System Information Discovery [T1082] | | EXECUTION | Command and Scripting Interpreter::Windows Command Shell [T1059.003] | | | Shared Modules [T1129] | | EXFILTRATION | Exfiltration Over C2 Channel [T1041] | | PERSISTENCE | Create or Modify System Process::Windows Service [T1543.003] | +--------------------+------------------------------------------------------------------------+
+-------------------------------------------+-------------------------------------------------+ | CAPABILITY | NAMESPACE | |-------------------------------------------+-------------------------------------------------| | read and send data from client to server | c2/file-transfer | | execute shell command and capture output | c2/shell | | receive data (2 matches) | communication | | send data (6 matches) | communication | | connect to HTTP server (3 matches) | communication/http/client | | send HTTP request (3 matches) | communication/http/client | | create pipe | communication/named-pipe/create | | get socket status (2 matches) | communication/socket | | receive data on socket (2 matches) | communication/socket/receive | | send data on socket (3 matches) | communication/socket/send | | connect TCP socket | communication/socket/tcp | | encode data using Base64 | data-manipulation/encoding/base64 | | encode data using XOR (6 matches) | data-manipulation/encoding/xor | | run as a service | executable/pe | | get common file path (3 matches) | host-interaction/file-system | | read file | host-interaction/file-system/read | | write file (2 matches) | host-interaction/file-system/write | | print debug messages (2 matches) | host-interaction/log/debug/write-event | | resolve DNS | host-interaction/network/dns/resolve | | get hostname | host-interaction/os/hostname | | create process | host-interaction/process/create | | create registry key | host-interaction/registry/create | | create service | host-interaction/service/create | | create thread | host-interaction/thread/create | | persist via Windows service | persistence/service | +-------------------------------------------+-------------------------------------------------+
# download e utilizzo
Scarica le versioni stabili dei binari standalone di capa [qui](https://github.com/mandiant/capa/releases). Puoi eseguire i binari standalone senza installazione. capa è uno strumento da riga di comando che dovrebbe essere eseguito dal terminale.
Per utilizzare capa come libreria o integrarlo con un altro strumento, consulta [doc/installation.md](https://github.com/mandiant/capa/blob/master/doc/installation.md) per ulteriori istruzioni di configurazione.
**Documentazione:** [Utilizzo e suggerimenti](https://github.com/mandiant/capa/blob/master/doc/usage.md) · [Installazione](https://github.com/mandiant/capa/blob/master/doc/installation.md) · [Limitazioni](https://github.com/mandiant/capa/blob/master/doc/limitations.md) · [FAQ](https://github.com/mandiant/capa/blob/master/doc/faq.md)
# capa Explorer Web
Il [capa Explorer Web](https://mandiant.github.io/capa/explorer/) ti consente di esplorare interattivamente i risultati di capa nel tuo browser web. Oltre alla versione online, puoi scaricare un file HTML standalone per l'utilizzo offline locale.
Maggiori dettagli sull'interfaccia web sono disponibili nel [README di capa Explorer Web](https://github.com/mandiant/capa/blob/master/web/explorer/README.md).
# esempio
Nell'output di esempio sopra, eseguiamo capa su un binario sconosciuto (`suspicious.exe`), e lo strumento riporta che il programma può inviare richieste HTTP, decodificare dati tramite XOR e Base64, installare servizi e generare nuovi processi. Considerato insieme, questo ci fa pensare che `suspicious.exe` potrebbe essere una backdoor persistente. Pertanto, il nostro prossimo passo di analisi potrebbe essere eseguire `suspicious.exe` in una sandbox e cercare di recuperare il server di comando e controllo.
## risultati dettagliati
Passando il flag `-vv` (per molto verboso), capa riporta esattamente dove ha trovato prove di queste capacità. Questo è utile per almeno due ragioni: