CAPEsolo

Python GUIで、スタンドアロンVM上でcapemonを実行します。CAPE (Configuration And Payload Extraction) の処理と結果のサブセットを提供します。

• マルウェアを実行するのに適したWindows 10 VMを作成します。
  • 設定の詳細については、CAPEv2ゲストガイドを参照してください。
  • https://capev2.readthedocs.io/en/latest/installation/guest/index.html
• VMにPythonをインストールします。64ビットPythonバージョン3.11、3.12、3.12でテスト済みです。PythonをPATHに追加します。
• 両方のMicrosoft Visual C++ Redistributableをダウンロードしてインストールします:
  • https://aka.ms/vs/17/release/vc_redist.x86.exe
  • https://aka.ms/vs/17/release/vc_redist.x64.exe
• CAPEsoloをインストールします。
  • pip install CAPEsolo
• VMのスナップショットを取得します。

クイックスタート

• 管理者コマンドウィンドウを開きます。
• capesolo と入力して実行します。

あるいは、CAPEsolo.exeへのショートカットを作成します。 これはpython.exeファイルと同じ場所のScriptsサブディレクトリにあります。

• 詳細設定で「管理者として実行」にチェックを入れます。
• アイコンファイルはCAPEsoloインストールフォルダのsite-packages以下にあります。

分析結果はC:\Users\Public\CAPEsolo\analysisにあります。

• C:\Users\Public\CAPEsolo\cfg.iniで設定できます。
• そこの設定はpython-path\site-packages\CAPEsolo\cfg.iniのパッケージ版デフォルトを上書きし、 パッケージ版を上書きするpip install --upgrade CAPEsolo後も保持されます。
• 変更したいキーだけを含めてください。残りはパッケージ版のデフォルトにフォールバックします。

各分析後にVMを元に戻します。

JSONレポートの表示 (スタンドアロン)

• tools/report_viewer.pyは、CAPEsoloのreport.json用の自己完結型トリアージビューアで、 Pythonさえあれば任意のホストで動作します - CAPEsoloのインストールもpip依存関係も不要です (標準ライブラリのtkinter)。
  • python tools/report_viewer.py [path\to\report.json]
  • 引数なしの場合は%USERPROFILE%\Desktop\report.json (CAPEsoloが書き込む場所) を開きます。 別のファイルを選ぶにはFile > Openを使用します。
  • トリアージタブ: Overview (判定カード - ファイルハッシュ、検出、トップシグネチャ、設定、カウント)、 Signatures (重要度順にソート、色分け、プロセスごとのエビデンス付き)、Processes (プロセスツリー とプロセスごとのメタデータ)、Network (DNS/HTTP/Hosts/Domains/Flows)、Payloads (yaraヒット と文字列付き)、IOCs (集約、Copy / Export CSV / Export text付き)。
  • 検索ボックス (トップバー) は、シグネチャ、ネットワーク、ペイロード、設定、IOC、 文字列を横断して値を検索し、該当するタブにジャンプします。
  • Raw JSONタブは、トリアージタブが表示しないもののために完全なツリーを保持します。
  • 大きなレポートを処理します: ファイルはプログレスバー付きで読み込まれ、生のツリーは遅延読み込みされ (展開時に子を読み込み)、詳細ペインは制限されるため、数百MB/GBのレポートでも 応答性を保ちます。(GBレポートの解析には依然として数GBのRAMが必要です - これは PythonのJSONに固有のものです。)
  • tkinterが必要です - 標準のWindows/macOS Pythonに同梱されています。Linuxではpython3-tkをインストールしてください。

不安定なVMからの結果の保存

• サンプルが起動後にVMを使用不能にする場合、StartパネルのZip Resultsをクリックして 分析ディレクトリ全体をDesktop\capesolo_analysis_<timestamp>.zipにアーカイブします。
• クリーン/復元されたVMに復元するには、そのzipをC:\Users\Public\CAPEsolo\restore.zipにコピーし、 その後CAPEsoloを起動します。起動時にzipを分析ディレクトリに展開し (その ディレクトリにまだ分析がない場合のみ)、restore.zip.doneに名前を変更するので一度だけ復元されます。
• 結果タブは再実行なしで復元されたアーティファクトを読み込みます - 各タブ (Behavior、 Yara、Configs、Signatures) を処理するか、JSON/HTML Reportボタンを使用します。

ハッシュによるサンプルのダウンロード

• Startパネルは、VirusTotalまたはMalwareBazaarからMD5/SHA1/SHA256でサンプルを取得し、 それを分析対象として使用できます。ソースは自動選択されます (VirusTotalが最初、次に MalwareBazaar。MalwareBazaarはSHA256が必要)。設定されているキーに基づきます。
• cfg.iniで (またはSettingsボタン経由で) 有効にします: [download]の下でenabled = trueを設定します。 directoryはサンプルの保存先を設定します (デフォルトはユーザーのデスクトップ)。
• APIキー - 入手先:
  • VirusTotal: ファイルのダウンロードにはVirusTotal Enterprise / Intelligence APIキーが必要です。無料の コミュニティキーではレポートの参照はできますが、ファイルのダウンロードはできません。
  • MalwareBazaar: 無料のabuse.ch Auth-Key (auth.abuse.chでアカウントを作成してください)。
• APIキーは暗号化されて保存され、VM上で平文になることはありません。暗号化されたblobは VM外でtools/encrypt_api_key.pyを使って生成し、cfg.iniに貼り付けます。
• tools/encrypt_api_key.pyはCAPEsoloソースリポジトリのtools/以下に含まれています。信頼できる ホスト (分析VMではない) で実行してください。必要なのはpip install cryptographyだけです。
  • python tools/encrypt_api_key.py
  • APIキーとパスワードの入力を (非表示で) 求め、暗号化されたblobを出力します。
  • 使用するすべてのプロバイダーを同じパスワードで暗号化してください。1回の入力で両方のロックが解除されます。
• blobをゲストにインストールするには、次のいずれかを行います:

MCPサーバー

• CAPEsoloには、プログラムによる分析ワークフロー用のMCPサーバーエントリポイントが含まれています。
• CAPEsolo-mcpでstdio経由で起動するか、HTTP経由で提供してホストからアクセスします。
• トランスポート、cfg.ini設定、完全なツールリスト、例についてはmcp_server.mdを参照してください。

インタラクティブデバッガー

• GUIデバッガーについてはinteractive_debugger.mdを、MCP相当についてはmcp_server.mdを参照してください。

ヘッドレス単一実行CLI

• CAPEsoloは、MCPサーバーと同じバックエンドジョブランナーを再利用する非MCPの単一実行モードをサポートしています。
• 1回の分析を実行して終了します:
  • CAPEsolo --headless-analyze "C:\path\sample.exe"
• オプションのフラグ:
  • --package <name>
  • --options "key=value,key2=value2"
  • --timeout <seconds>
  • --enforce-timeout
  • --headless-json
  • --headless-html-report